Windows 2000 內建安全指令實戰：Net 指令族群與 Netstat 監控

1. net start / stop：掌握服務狀態，阻斷不明服務

net start              :: 列出所有已啟動服務
net stop <服務名>      :: 停止指定服務（如發現可疑服務立即停用）

定期執行 net start 建立基準清單，異常新增服務多為惡意軟體植入。

2. net accounts：強制密碼原則，杜絕弱密碼

net accounts /minpwlen:6           :: 密碼最短 6 碼
net accounts /minpwage:6           :: 密碼至少使用 6 天才能變更
net accounts /maxpwage:30          :: 密碼最長 30 天強制變更
net accounts /minpwage:7 /maxpwage:42  :: 7~42 天變更區間

配合群組原則「密碼必須符合複雜性需求」效果最佳。

3. netstat -a / -n / -o：監控網路連線，偵測木馬後門

netstat -an          :: 數值顯示所有連線與監聽埠
netstat -ano         :: 顯示擁有進程 PID（配合 tasklist 定位程式）

關鍵指標：

• 不明外連 IP（特別是境外高風險地區）。
• 非常用埠監聽（如 7626 冰河木馬、31337 Back Orifice）。
• 大量 SYN_SENT/TIME_WAIT 疑似掃描/攻擊流量。

發現異常立即斷網、全盤掃毒、檢查啟動項與服務。

4. net user：稽核帳號，防範隱藏管理員克隆

net user                 :: 列出所有本機帳號
net user <帳號名>        :: 顯示帳號詳細資訊（群組隸屬、上次登入、密碼到期等）
net user guest /delete   :: 刪除可疑帳號（如 Guest 被加入 Administrators）

重點檢查：Guest、TsInternetUser、IUSR_*、IWAM_* 是否異常啟用或提權。

5. net config server /hidden:yes：隱藏伺服器名稱，降低偵察曝光

net config server /hidden:yes

執行後「網路芳鄰」不再顯示本機，攻擊者需知晓確切 IP/NetBIOS 名稱才能嘗試連線。注意：合法網域服務（如檔案共享、列印）可能受影響，視環境評估啟用。

整合防護腳本範例 (每日排程執行)

@echo off
date /t >> security_audit.log
time /t >> security_audit.log
net start >> security_audit.log
netstat -an >> security_audit.log
net user >> security_audit.log
:: 以郵件/事件日誌發送異常告警（需搭配 blat 或 PowerShell）

進階建議

• 將上述指令整合為批次檔，配合排程工作每小時執行，日誌集中到 Syslog 伺服器。
• 建立已知服務/埠/帳號白名單清單，腳本自動比對差異並告警。
• 搭配「本地安全性原則」→「稽核原則」啟用「稽核登入事件/物件存取/程序追蹤」，形成纵深防禦。