第二章 计算机网络安全基础.doc

1、第 2 章 计算机网络安全基础内容提要 本章介绍 OSI 七层网络模型 TCP/IP 协议簇。 重点介绍 IP 协议、TCP 协议、UDP 协议和 ICMP 协议。 介绍常用的网络服务：文件传输服务、Telnet 服务、电子邮件服务和、Web 服务 介绍常用的网络服务端口和常用的网络命令的使用。一. OSI 参考模型 OSI 参考模型是国际标准化组织 ISO(International Standards Organization )制定的模型，把计算机与计算机之间的通信分成七个互相连接的协议层，结构如图 2-1 所示。11、物理层（Physical Layer 最底层是物理层，这一层负责传送

2、比特流，它从第二层数据链路层接收数据帧，并将帧的结构和内容串行发送，即每次发送一个比特。 物理层只能看见 0 和 1，只与电信号技术和光信号技术的物理特征相关。这些特征包括用于传输信号电流的电压、介质类型以及阻抗特征。该层的传输介质是同轴电缆、光纤、双绞线等，有时该层被称为 OSI 参考模型的第 0 层。 物理层可能受到的安全威胁是搭线窃听和监听，可以利用数据加密、数据标签加密，数据标签，流量填充等方法保护物理层的安全。2、数据链路层（Data Link Layer） OSI 参考模型的第二层称为数据链路层。与其他层一样，它肩负两个责任：发送和2 数据链 路层3 网 络层4 传 输层1 物 理

3、层5 会 话层6 表 示层7 应 用层接收数据。 还要提供数据有效传输的端到端连接。在发送方，数据链路层负责将指令、数据等包装到帧中，帧是该层的基本结构。 帧中包含足够的信息，确保数据可以安全地通过本地局域网到达目的地。3、网络层（Network Layer） 网络层（Network Layer）的主要功能是完成网络中主机间的报文传输。在广域网中，这包括产生从源端到目的端的路由。 当报文不得不跨越两个或多个网络时，又会产生很多新问题。例如第二个网络的寻址方法可能不同于第一个网络；第二个网络也可能因为第一个网络的报文太长而无法接收；两个网络使用的协议也可能不同等。网络层必须解决这些问题，使异构网

4、络能够互连。 在单个局域网中，网络层是冗余的，因为报文是直接从一台计算机传送到另一台计算机的。4、传输层（Transport Layer） 传输层的主要功能是完成网络中不同主机上的用户进程之间可靠的数据通信。 最好的传输连接是一条无差错的、按顺序传送数据的管道，即传输层连接是真正端到端的。 由于绝大多数主机都支持多用户操作，因而机器上有多道程序，这意味着多条连接将进出于这些主机，因此需要以某种方式区别报文属于哪条连接。识别这些连接的信息可以放入传输层的报文头中。5、会话层（Session Layer） 会话层允许不同机器上的用户之间建立会话关系。会话层允许进行类似传输层的普通数据的传送，在某些

5、场合还提供了一些有用的增强型服务。允许用户利用一次会话在远端的分时系统上登录，或者在两台机器间传递文件。 会话层提供的服务之一是管理对话控制。 会话层允许信息同时双向传输，或限制只能单向传输。如果属于后者，类似于物理信道上的半双工模式，会话层将记录此时该轮到哪一方。 一种与对话控制有关的服务是令牌管理（Token Management） 。有些协议保证双方不能同时进行同样的操作，这一点很重要。为了管理这些活动，会话层提供了令牌，令牌可以在会话双方之间移动，只有持有令牌的一方可以执行某种操作。6、表示层（Presentation Layer） 表示层完成某些特定的功能，这些功能不必由每个用户自己

6、来实现。 值得一提的是，表示层以下各层只关心从源端机到目标机可靠地传送比特，而表示层关心的是所传送的信息的语法和语义。 表示层服务的一个典型例子是用一种一致选定的标准方法对数据进行编码。 大多数用户程序之间并非交换随机的比特，而是交换诸如人名、日期、货币数量和发票之类的信息。这些对象是用字符串、整型数、浮点数的形式，以及由几种简单类型组成的数据结构来表示。7、应用层（Application Layer） 应用层包含大量人们普遍需要的协议。虽然，对于需要通信的不同应用来说，应用层的协议都是必须的。 例如，PC （Personal Computer）机用户使用仿真终端软件通过网络仿真某个远程主机的

7、终端并使用该远程主机的资源。 这个仿真终端程序使用虚拟终端协议将键盘输入的数据传送到主机的操作系统，并接收显示于屏幕的数据。TCP/IP 协议簇二. TCP/IP 协议簇 TCP/IP 协议簇模型 和其他网络协议一样，TCP/IP 有自己的参考模型用于描述各层的功能。TCP/IP 协议簇参考模型和 OSI 参考模型的比较如图 2-2 所示。 TCP/IP 参考模型实现了 OSI 模型中的所有功能。 不同之处是 TCP/IP 协议模型将 OSI 模型的部分层进行了合并。 OSI 模型对层的划分更精确，而 TCP/IP 模型使用比较宽的层定义。3. 解剖 TCP/IP 模型 TCP/IP 协议簇包

8、括四个功能层：应用层、传输层、网络层及网络接口层。 这四层概括了相对于 OSI 参考模型中的七层。 1、网络接口层 网络接口层包括用于物理连接、传输的所有功能。OSI 模型把这一层功能数 据链路层网 络层传 输层物 理层会 话层表 示层应 用层低层网 络协议I P / I C M P / I G M P / A R P / R A R PT C P / U D PF T P / S M T P / T E L N E T / S N M P . . .应用 程序分为两层：物理层和数据链路层，TCP/IP 参考模型把两层合在一起。 2、网络层（Internet 层） 网络层由在两个主机之间通信所

9、必须的协议和过程组成。这意味着数据报文必须是可路由的。 3、传输层 这一层支持的功能包括：为了在网络中传输对应用数据进行分段，执行数学检查来保证所收数据的完整性，为多个应用同时传输数据多路复用数据流(传输和接收)。这意味着该层能识别特殊应用，对乱序收到的数据进行重新排序。 当前的主机到主机层包括两个协议实体：传输控制协议(TCP)和用户数据报协议(UDP)。 4、应用层 应用层协议提供远程访问和资源共享。应用包括 Telnet 服务、FTP 服务、SMTP 服务和 HTTP 服务等，很多其他应用程序驻留并运行在此层，并且依赖于底层的功能。该层是最难保护的一层。 . TCP/IP 组的四层、 O

10、SI 参考模型和常用协议的对应关系如图 2-3 所示。4. 网络协议 IP IP 协议已经成为世界上最重要的网际协议。 IP 的功能定义在由 IP 头结构的数据中。IP 是网络层上的主要协议，同时被 TCP协议和 UDP 协议使用。 TCP/IP 的整个数据报在数据链路层的结构如表 2-1 所示。 表 2-1 TCP/IP 数据报的结构以太网数据包头IP 头 TCP/UDP/ICMP/IGMP 头 数据5. IP 头的结构 可以看出一条完整数据报由四部分组成 第三部分是该数据报采用的协议 第四部分是数据报传递的数据内容 其中 IP 头的结构如表 2-2 所示。版本（4 位） 头长度（4 位）

11、服务类型（8 位） 封包总长度（16 位）封包标识（16 位） 标志（3 位） 片断偏移地址（13 位）存活时间（8 位） 协议（8 位） 校验和（16 位）来源 IP 地址（32 位）目的 IP 地址（32 位）选项（可选） 填充（可选）数据 IP 头结构在所有协议中都是固定的，对表 2-2 说明如下： （1）字节和数字的存储顺序是从右到左，依次是从低位到高位，而网络存储顺序是从左到右，依次从低位到高位。 （2）版本：占第一个字节的高四位。头长度：占第一个字节的低四位。 （3）服务类型：前 3 位为优先字段权，现在已经被忽略。接着 4 位用来表示最小延迟、最大吞吐量、最高可靠性和最小费用。

12、（4）封包总长度：整个 IP 报的长度，单位为字节。 （5）存活时间：就是封包的生存时间。通常用通过的路由器的个数来衡量，比如初始值设置为 32，则每通过一个路由器处理就会被减一，当这个值为 0 的时候就会丢掉这个包，并用 ICMP 消息通知源主机。 （6）协议：定义了数据的协议，分别为：TCP、UDP、ICMP 和 IGMP。定义为： define PROTOCOL_TCP 0x06 define PROTOCOL_UDP 0x11 define PROTOCOL_ICMP 0x06 define PROTOCOL_IGMP 0x06 （7）检验和：校验的首先将该字段设置为 0，然后将 IP

13、 头的每 16 位进行二进制取反求和，将结果保存在校验和字段。 （8）来源 IP 地址：将 IP 地址看作是 32 位数值则需要将网络字节顺序转化位主机字节顺序。转化的方法是：将每 4 个字节首尾互换，将 2、3 字节互换。 （9）目的 IP 地址：转换方法和来源 IP 地址一样。 在网络协议中，IP 是面向非连接的，所谓的非连接就是传递数据的时候，不检测网络是否连通。所以是不可靠的数据报协议，IP 协议主要负责在主机之间寻址和选择数据包路由。 6. 抓取 Ping 指令发送的数据包 按照第一章 Sniffer 的设置抓取 Ping 指令发送的数据包，命令执行如图 2-4 所示。 其实 IP

14、报头的所有属性都在报头中显示出来，可以看出实际抓取的数据报和理论上的数据报一致，分析如图 2-6 所示。7. IPv4 的 IP 地址分类 IPv4 地址在 1981 年 9 月实现标准化的。基本的 IP 地址是 8 位一个单元的 32位二进制数。为了方便人们的使用，对机器友好的二进制地址转变为人们更熟悉的十进制地址。 IP 地址中的每一个 8 位组用 0255 之间的一个十进制数表示。这些数之间用点“.”隔开，因此，最小的 IPv4 地址值为 0.0.0.0，最大的地址值为 255.255.255.255，然而这两个值是保留的，没有分配给任何系统。 IP 地址分成五类：A 类地址、B 类地址

15、、C 类地址、D 类地址和 E 类地址。 每一个 IP 地址包括两部分：网络地址和主机地址，上面五类地址对所支持的网络数和主机数有不同的组合。1、A 类地址 一个 A 类 IP 地址仅使用第一个 8 位组表示网络地址。剩下的 3 个 8 位组表示主机地址。A 类地址的第一个位总为 0，这一点在数学上限制了 A 类地址的范围小于127，因此理论上仅有 127 个可能的 A 类网络，而 0.0.0.0 地址又没有分配，所以实际上只有 126 个 A 类网。技术上讲， 127.0.0.0 也是一个 A 类地址，但是它已被保留作闭环（Look Back）测试之用而不能分配给一个网络。 A 类地址后面的

16、 24 位表示可能的主机地址， A 类网络地址的范围从 1.0.0.0 到126.0.0.0。每一个 A 类地址能支持 16,777,214 个不同的主机地址，这个数是由 2的 24 次方再减去 2 得到的。减 2 是必要的，因为 IP 把全 0 保留为表示网络而全 1表示网络内的广播地址。2、B 类地址 设计 B 类地址的目的是支持中到大型的网络。 B 类网络地址范围从128.1.0.0 到 191.254.0.0。B 类地址蕴含的数学逻辑是相当简单的。 一个 B 类 IP 地址使用两个 8 位组表示网络号，另外两个 8 位组表示主机号。B 类地址的第 1 个 8 位组的前两位总是设置为 1

17、 和 0，剩下的 6 位既可以是0 也可以是 1，这样就限制其范围小于等于 191，这里的 191 由 128+32+16+8+4 +2+1 得到。 最后的 16 位（2 个 8 位组）标识可能的主机地址。每一个 B 类地址能支持 64,534 个惟一的主机地址，这个数由 2 的 16 次方减 2 得到，B 类网络有 16,382个。3、C 类地址 C 类地址用于支持大量的小型网络。这类地址可以认为与 A 类地址正好相反。A 类地址使用第一个 8 位组表示网络号，剩下的 3 个表示主机号，而C 类地址使用三个 8 位组表示网络地址，仅用一个 8 位组表示主机号。 C 类地址的前 3 位数为 1

18、10，前两位和为 192(128+64)，这形成了 C 类地址空间的下界。第三位等于十进制数 32，这一位为 0 限制了地址空间的上界。不能使用第三位限制了此 8 位组的最大值为 255-32 等于 223。因此 C 类网络地址范围从 192.0.1.0 至 223.255.254.0。 最后一个 8 位组用于主机寻址。每一个 C 类地址理论上可支持最大 2 5 6 个主机地址(0255)，但是仅有 254 个可用，因为 0 和 255 不是有效的主机地址。可以有 2,097,150 个不同的 C 类网络地址。 在 IP 地址中，0 和 255 是保留的主机地址。IP 地址中所有的主机地址为0

19、 用于标识局域网。同样，全为 1 表示在此网段中的广播地址。4、D 类地址 D 类地址用于在 IP 网络中的组播（Multicasting） 。D 类组播地址机制仅有有限的用处。一个组播地址是一个惟一的网络地址。它能指导报文到达预定义的IP 地址组。 因此，一台机器可以把数据流同时发送到多个接收端，这比为每个接收端创建一个不同的流有效得多。组播长期以来被认为是 IP 网络最理想的特性，因为它有效地减小了网络流量。 D 类地址空间，和其他地址空间一样，有其数学限制，D 类地址的前 4位恒为 1110，预置前 3 位为 1 意味着 D 类地址开始于 128+64+32 等于 224。第 4位为 0

20、 意味着 D 类地址的最大值为 128+64+32+8+4+2+1 为 239，因此 D 类地址空间的范围从 224.0.0.0 到 239.255.2 55.254。5、E 类地址 E 类地址虽被定义为保留研究之用。因此 Internet 上没有可用的E 类地址。 E 类地址的前 4 位为 1，因此有效的地址范围从 240.0.0.0 至255.255.255.255子网掩码、 子网掩码是用来判断任意两台计算机的 IP 地址是否属于同一子网络的根据。 最为简单的理解就是两台计算机各自的 IP 地址与子网掩码进行二进制“与”（AND）运算后，如果得出的结果是相同的，则说明这两台计算机是处于同一

21、个子网络上的，可以进行直接的通讯。 计算机 A 的 IP 地址为 192.168.0.1，子网掩码为 255.255.255.0，将转化为二进制进行“与”运算，运算过程如表 2-3 所示。、计算机 A 的 IP 地址为 192.168.0.1，子网掩码为 255.255.255.0，将转化为二进制进行“与”运算，运算过程如表 2-3 所示。IP 地址 11010000.10101000.00000000.00000001子网掩码 11111111.11111111.11111111.00000000IP 地址与子网掩码按位“与”运算11000000.10101000.00000000.0000

22、0000运算的结果转化为十进制 192.168.0.03计算机 B 的 IP 地址为 192.168.0.254，子网掩码为 255.255.255.0，将转化为二进制进行“与”运算。运算过程如表 2-4 所示。IP 地址 11010000.10101000.00000000.11111110子网掩码 11111111.11111111.11111111.00000000IP 地址与子网掩码按位“与”运算11000000.10101000.00000000.00000000运算的结果转化为十进制 192.168.0.04计算机 C 的 IP 地址为 192.168.0.4，子网掩码为 255.

23、255.255.0，将转化为二进制进行“与”运算。运算过程如表 2-5 所示IP 地址 11010000.10101000.00000000. 00000100子网掩码 11111111.11111111.11111111.00000000IP 地址与子网掩码按位“与”运算11000000.10101000.00000000.00000000运算的结果转化为十进制 192.168.0.09传输控制协议协议 TCP 1 TCP 是传输层协议，提供可靠的应用数据传输。 TCP 在两个或多个主机之间建立面向连接的通信。 TCP 支持多数据流操作，提供错误控制，甚至完成对乱序到达的报文进行重新排序。2

24、TCP 协议的头结构 和 IP 一样，TCP 的功能受限于其头中携带的信息。因此理解 TCP 的机制和功能需要了解 TCP 头中的内容，表 2-6 显示了 TCP 头结构。来源端口（2 字节） 目的端口（2 字节）序号（4 字节） 确认序号（4 字节）头长度（4 位） 保留（6 位）URG ACK PSH RST SYN PIN窗口大小（2 字节） 校验和（16 位）紧急指针（16 位） 选项（可选）数据3 TCP 协议的头结构 TCP 协议的头结构都是固定的，对表 2-6 说明如下： （1）TCP 源端口（Source Port）：16 位的源端口包含初始化通信的端口号。源端口和 IP 地址

25、的作用是标识报文的返回地址。 （2）TCP 目的端口（Destination Port）：16 位的目的端口域定义传输的目的。这个端口指明报文接收计算机上的应用程序地址接口。 （3）序列号（Sequence Number）：TCP 连线发送方向接收方的封包顺序号。 （4）确认序号（Acknowledge Number）：接收方回发的应答顺序号。 （5）头长度（Header Length）：表示 TCP 头的双四字节数，如果转化为字节个数需要乘以 4。 （6）URG：是否使用紧急指针，0 为不使用，1 为使用。 （7）ACK：请求/应答状态。0 为请求，1 为应答。 （8）PSH：以最快的速度传

26、输数据。 （9）RST：连线复位，首先断开连接，然后重建。 （10）SYN：同步连线序号，用来建立连线。 （11）FIN：结束连线。如果 FIN 为 0 是结束连线请求，FIN 为 1 表示结束连线。 （12）窗口大小（Window）：目的机使用 16 位的域告诉源主机，它想收到的每个TCP 数据段大小。 （13）校验和（Check Sum）：这个校验和和 IP 的校验和有所不同，不仅对头数据进行校验还对封包内容校验。 （14）紧急指针（Urgent Pointer）：当 URG 为 1 的时候才有效。TCP 的紧急方式是发送紧急数据的一种方式。10TCP 协议的工作原理 TCP 提供两个网络

27、主机之间的点对点通讯。TCP 从程序中接收数据并将数据处理成字节流。 首先将字节分成段，然后对段进行编号和排序以便传输。在两个 TCP 主机之间交换数据之前，必须先相互建立会话。TCP 会话通过三次握手的完成初始化。这个过程使序号同步，并提供在两个主机之间建立虚拟连接所需的控制信息。 TCP 在建立连接的时候需要三次确认，俗称“三次握手”，在断开连接的时候需要四次确认，俗称“四次挥手”。11 TCP 协议的三次“ 握手” 12TCP 协议的三次“ 握手” 这个过程在 FTP 的会话过程中也明显的显示出来，如图 2-12 所示。1第一次“握手” 首先分析建立“ 握手” 第一个过程包的结构，如图

28、2-13 所示。1 7 2 . 1 8 . 2 5 . 1 1 0 1 7 2 . 1 8 . 2 5 . 1 0 9我可以连 接到你 吗？当 然可以那我 就不客气了2第二次“握手” SYN 为 1，开始建立请求连接，需要对方计算机确认，对方计算机确认返回的数据包如图 2-14 所示。 3第三次“握手” 对方计算机返回的数据包中 ACK 为 1 并且 SYN 为 1，说明同意连接。 这个时候需要源计算机的确认就可以建立连接了。确认数据包的结构如图 2-15 所示。 4TCP 协议的四次“ 挥手 ” 需要断开连接的时候，TCP 也需要互相确认才可以断开连接，四次交互过程如图 2-16 所示1第一

29、次“挥手” 第一次交互过程的数据报结构如图 2-17 所示。1 7 2 . 1 8 . 2 5 . 1 1 0 1 7 2 . 1 8 . 2 5 . 1 0 9我 要结束连接当 然可以好，收 到终 止了2第二次“挥手” 第一次交互中，首先发送一个 FIN=1 的请求，要求断开，目标主机在得到请求后发送 ACK=1 进行确认，如图 2-18 所示。 3第三次“挥手” 在确认信息发出后，就发送了一个 FIN=1 的包，与源主机断开，如图 2-19 所示。4第四次“挥手” 随后源主机返回一条 ACK=1 的信息，这样一次完整的 TCP 会话就结束了。如图 2-20 所示。13用户数据报协议 UDP

30、 1。UDP 为应用程序提供发送和接收数据报的功能。 某些程序（比如腾讯的 OICQ）使用的是 UDP 协议， UDP 协议在 TCP/IP 主机之间建立快速、轻便、不可靠的数据传输通道。 2UDP 和 TCP 的区别 UDP 提供的是非连接的数据报服务，意味着 UDP 无法保证任何数据报的传递和验证。 UDP 的结构如图 2-21 所示。3UDP 和 TCP 传递数据的差异 UDP 和 TCP 传递数据的差异类似于电话和明信片之间的差异。 TCP 就像电话，必须先验证目标是否可以访问后才开始通讯。 UDP 就像明信片，信息量很小而且每次传递成功的可能性很高，但是不能完全保证传递成功。 UDP

31、 通常由每次传输少量数据或有实时需要的程序使用。 在这些情况下，UDP 的低开销比 TCP 更适合。UDP 与 TCP 提供的服务和功能直接对比 4 UDP 和 TCP 传递数据的比较 UDP 协议 TCP 协议无连接的服务；在主机之间不建立会话。面向连接的服务；在主机之间建立会话。UDP 不能确保或承认数据传递或序列化数据。TCP 通过确认和按顺序传递数据来确保数据的传递。使用 UDP 的程序负责提供传输数据所需的可靠性。使用 TCP 的程序能确保可靠的数据传输。UDP 快速，具有低开销要求，并支持点对点和一点对多点的通讯。TCP 比较慢，有更高的开销要求，而且只支持点对点通讯。UDP 和

32、TCP 都使用端口标识每个 TCP/IP 程序的通讯。5UDP 协议的头结构 UDP 的头结构比较简单，如表 2-8 所示。 源端口（2 字节） 目的端口（2 字节）封报长度（2 字节） 校验和（2 字节）数据6UDP 的头结构 （1）源端口（Source Port）：16 位的源端口域包含初始化通信的端口号。源端口和 IP 地址的作用是标识报文的返回地址。 （2）目的端口（Destination Port）：6 位的目的端口域定义传输的目的。这个端口指明报文接收计算机上的应用程序地址接口。 （3）封包长度（Length）：UDP 头和数据的总长度。 （4）校验和（Check Sum）：和 T

33、CP 和校验和一样，不仅对头数据进行校验，还对包的内容进行校验。7UDP 数据报分析 常用的网络服务中，DNS 使用 UDP 协议。DNS 是域名系统 (Domain Name System)的缩写 当用户在应用程序中输入 DNS 名称时，DNS 服务可以将此名称解析为与此名称相关的 IP 地址。14Email 服务 目前 Email 服务用的两个主要的协议是：简单邮件传输协议 SMTP（Simple Mail Transfer Protocol）和邮局协议 POP3（Post Office Protocol） 。 SMTP 默认占用 25 端口，用来发送邮件，POP3 占用 110 端口，用

34、来接收邮件。 在 Windows 平台下，主要利用 Microsoft Exchange Server 作为电子邮件服务器。15. Web 服务 Web 服务是目前最常用的服务，使用 HTTP 协议，默认 Web 服务占用 80 端口 在 Windows 平台下一般使用 IIS（Internet Information Server）作为 Web 服务器。16常用的网络服务端口 常用服务端口列表 端口 协议 服务21 TCP FTP 服务25 TCP SMTP 服务53 TCP/UDP DNS 服务80 TCP Web 服务135 TCP RPC 服务137 UDP NetBIOS 域名服务1

35、38 UDP NetBIOS 数据报服务139 TCP NetBIOS 会话服务443 TCP 基于 SSL 的 HTTP 服务445 TCP/UDP Microsoft SMB 服务3389 TCP Windows 终端服务17常用的网络命令 常用的网络命令有： 判断主机是否连通的 ping 指令 查看 IP 地址配置情况的 ipconfig 指令 查看网络连接状态的 netstat 指令 进行网络操作的 net 指令 进行定时器操作的 at 指令。 1 Pingping 指令通过发送 ICMP 包来验证与另一台 TCP/IP 计算机的 IP 级连接。应答消息的接收情况将和往返过程的次数一起

36、显示出来。ping 指令用于检测网络的连接性和可到达性，如果不带参数，ping 将显示帮助，如图 2-39 所示。2可以利用 ping 指令验证和对方计算机的连通性，使用的语法是“ping 对方计算机名或者 IP 地址”。如果连通的话，返回的信息如图 2-40 所示。3ipconfig 指令 ipconfig 指令显示所有 TCP/IP 网络配置信息、刷新动态主机配置协议（DHCP, Dynamic Host Configuration Protocol）和域名系统（DNS）设置。 使用不带参数的 ipconfig 可以显示所有适配器的 IP 地址、子网掩码和默认网关。在 DOS 命令行下输入

37、 ipconfig 指令。4netstat 指令 netstat 指令显示活动的连接、计算机监听的端口、以太网统计信息、IP 路由表、IPv4 统计信息（IP、ICMP 、TCP 和 UDP 协议） 。 使用“netstat -an”命令可以查看目前活动的连接和开放的端口，是网络管理员查看网络是否被入侵的最简单方法。使用的方法如图 2-43 所示。5net 指令 net 指令的功能非常的强大，net 指令在网络安全领域通常用来查看计算机上的用户列表、添加和删除用户、和对方计算机建立连接、启动或者停止某网络服务等。 利用“net user”查看计算机上的用户列表，如图 2-44 所示。6net

38、指令 利用“net user 用户名 密码”给某用户修改密码，比如把管理员的密码修改成“123456”，如图 2-45 所示。17案例 2-2 建立用户并添加到管理员组 案例名称：添加用户到管理员组 文件名称：2-01.bat net user jack 123456 /add net localgroup administrators jack /add net user 1和对方计算机建立信任连接 只要拥有某主机的用户名和密码，就可以用“IPC$（Internet Protocol Control） ”建立信任连接，建立完信任连接后，可以在命令行下完全控制对方计算机。 比如得到 IP 为 172.18.25.109 计算机的管理员密码为 123456，可以利用指令“net use 172.18.25.109ipc$ 123456 /user:administrator”，如图 2-47 所示。建立完毕后，就可以操作对方的计算机，比如查看对方计算机上的文件，如图2at 指令 案例名称：创建定时器 文件名称：2-02.bat net use * /del net use 172.18.25.109ipc$ 123456 /user:administrator net time 172.18.25.109 at 8:40 notepad.exe