在CMD命令中，網(wǎng)絡(luò)監(jiān)測、網(wǎng)絡(luò)連接和網(wǎng)絡(luò)配置命令是網(wǎng)絡(luò)攻擊與防護的基礎(chǔ)命令。其中一些攻擊命令包括系統(tǒng)顯示、網(wǎng)卡信息、列舉進程、運行服務(wù)等操作命令，不過今天要講的是，利用Ipsecpol命令實現(xiàn)網(wǎng)絡(luò)安全防護。

關(guān)于Ipsecpol命令與語法網(wǎng)絡(luò)上有很多，因此本文主要以示例來展示Ipsecpol命令。

1、防御rpc-dcom攻擊

ipsecpol -p myfirewall -r rpc-dcom -f *+0:135:tcp *+0:135:udp*+0:137:udp *+0:138:udp 
*+0:139:tcp *+0:445:tcp *+0:445:udp -n BLOCK -w reg -x

這條命令關(guān)閉了本地主機的TCP135,139,445和udp135,137,138,445端口。

具體含義如下：

-p myfirewall 指定策略名為myfirewall

-r rpc-dcom 指定規(guī)則名為rpc-dcom

-f ...... 建立7個篩選器。*表示任何地址(源);0表示本機地址(目標);+表示鏡像(雙向)篩選。詳細語法見ipsecpol -?

-n BLOCK 指定篩選操作是"阻塞"。注意，BLOCK必須是大寫。

-w reg 將配置寫入注冊表，重啟后仍有效。

-x 立刻激活該策略。

2、防止被ping

ipsecpol -p myfirewall -r antiping -f *+0::icmp -n BLOCK -w reg -x

如果名為myfirewall的策略已存在，則antiping規(guī)則將添加至其中。

注意，該規(guī)則同時也阻止了該主機ping別人。

3、對后門進行IP限制

假設(shè)你在某主機上安裝了DameWare MiniRemote Control。為了保護它不被別人暴破密碼或溢出，應(yīng)該限制對其服務(wù)端口6129的訪問。

ipsecpol -p myfw -r dwmrc_block_all -f *+0:6129:tcp -n BLOCK -w reg

ipsecpol -p myfw -r dwmrc_pass_me -f 123.45.67.89+0:6129:tcp -n PASS-w reg -x

這樣就只有123.45.67.89可以訪問該主機的6129端口了。

如果你是動態(tài)IP，應(yīng)該根據(jù)IP分配的范圍設(shè)置規(guī)則。比如：

ipsecpol -p myfw -r dwmrc_block_all -f *+0:6129:tcp -n BLOCK -w reg

ipsecpol -p myfw -r dwmrc_pass_me -f 123.45.67.*+0:6129:tcp -n PASS-w reg -x

這樣就允許123.45.67.1至123.45.67.254的IP訪問6129端口。

在寫規(guī)則的時候，應(yīng)該特別小心，不要把自己也阻塞了。如果你不確定某個規(guī)則的效果是否和預(yù)想的一樣，可以先用計劃任務(wù)"留下后路"。例如：

c:/>net start schedule

Task Scheduler 服務(wù)正在啟動 ..

Task Scheduler 服務(wù)已經(jīng)啟動成功。

c:/>time /t

12:34

c:/>at 12:39 ipsecpol -p myfw -y -w reg

新加了一項作業(yè)，其作業(yè) ID = 1

然后，你有5分鐘時間設(shè)置一個myfw策略并測試它。5分鐘后計劃任務(wù)將停止該策略。

如果測試結(jié)果不理想，就刪除該策略。

c:/>ipsecpol -p myfw -o -w reg

注意，刪除策略前必須先確保它已停止。不停止它的話，即使刪除也會在一段時間內(nèi)繼續(xù)生效。持續(xù)時間取決于策略的刷新時間，默認是180分鐘。

如果測試通過，那么就啟用它。

c:/>ipsecpol -p myfw -x -w reg

最后說一下查看IPSec策略的辦法。

對于XP很簡單，一條命令搞定--ipseccmdshow filters

而ipsecpol沒有查詢的功能。需要再用一個命令行工具netdiag。它位于2000系統(tǒng)安裝盤的SUPPORT/TOOLS/SUPPORT.CAB中。(已經(jīng)上傳了三個文件，也就不在乎多一個了。

netdiag需要RemoteRegistry服務(wù)的支持。所以先啟動該服務(wù)：

net start remoteregistry

不啟動RemoteRegistry就會得到一個錯誤：

[FATAL] Failed to get system information of this machine.

netdiag這個工具功能十分強大，與網(wǎng)絡(luò)有關(guān)的信息都可以獲取!不過，輸出的信息有時過于詳細，超過命令行控制臺cmd.exe的輸出緩存，而不是每個遠程cmd shell都可以用more命令來分頁的。

查看ipsec策略的命令是：

netdiag /debug /test:ipsec

然后是一長串輸出信息。IPSec策略位于最后。

4、軟件安裝

一個軟件/工具的安裝過程，一般來說只是做兩件事：拷貝文件到特定目錄和修改注冊表。只要搞清楚具體的內(nèi)容，那么就可以自己在命令行下實現(xiàn)了。(不考慮安裝后需要注冊激活等情況)

WinPcap是個很常用的工具，但必須在窗口界面下安裝。在網(wǎng)上也可以找到不用GUI的版本(但還是有版權(quán)頁)，其實我們完全可以自己做一個。

以WinPcap 3.0a 為例。通過比較安裝前后的文件系統(tǒng)和注冊表快照，很容易了解整個安裝過程。

除 去反安裝的部分，關(guān)鍵的文件有三個：wpcap.dll，packet.dll和npf.sys。前面兩個文件位于system32目錄下，第三個在 system32/drivers下。而注冊表的變化是增加了一個系統(tǒng)服務(wù)NPF。注意， 是系統(tǒng)服務(wù)(即驅(qū)動)不是Win32服務(wù)。

作 為系統(tǒng)服務(wù)，不但要在HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services下增加主鍵，在 HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Enum/Root下也增加主鍵。而后者默認只有 SYSTEM身份才可以修改。幸運的是，并不需要手動添加它，winpcap被調(diào)用時會自動搞定。甚至完全不用手動修改注冊表，所有的事winpcap都 會自己完成，只需要將三個文件復(fù)制到合適的位置就行了。

作為范例，還是演示一下如何修改注冊表：利用前面說過的inf文件來實現(xiàn)。

[Version]

Signature="$WINDOWS NT$"

[DefaultInstall.Services]

AddService=NPF,,winpcap_svr

[winpcap_svr]

DisplayName=Netgroup Packet Filter

ServiceType=0x1

StartType=3

ErrorControl=1

ServiceBinary=%/npf.sys

將上面這些內(nèi)容保存為_wpcap_.inf文件。

再寫一個批處理_wpcap_.bat：

rundll32.exe setupapi,InstallHinfSection DefaultInstall 128%CD%/_wpcap_.inf

del _wpcap_.inf

if /i %CD%==%SYSTEMROOT%/system32 goto COPYDRV

copy packet.dll %SYSTEMROOT%/system32/

copy wpcap.dll %SYSTEMROOT%/system32/

del packet.dll

del wpcap.dll

:COPYDRV

if /i %CD%==%SYSTEMROOT%/system32/drivers ;goto END

copy npf.sys %SYSTEMROOT%/system32/drivers/

del npf.sys

:END

del %0

然后用winrar將所有文件(5個)打包為自解壓的exe，并將『高級自解壓選項』->『解壓后運行』設(shè)置為_wpcap_.bat，命令行的winpcap安裝包就制作完成了。

注意，批處理最后一行沒有回車符。否則會因為正在運行而無法刪除自己。

所有的軟件安裝，基本上可以套用這個思路。但也有例外的，那就是系統(tǒng)補丁的安裝。

由于系統(tǒng)補丁有可能要替換正在被執(zhí)行或訪問的文件，所以用copy命令是不行的。

幸好，Windows補丁包支持命令行安裝。

比如： KB824146.exe -n -z-q

-n 不保留備份

-z 不重啟

-q 安靜模式

如果有一堆補丁要打，那么用RAR打包成自解壓文件，外加一個批處理。

for %%f in (KB??????.exe) do %%f -n -z -q

for %%f in (KB??????.exe) do del %%f

del %0