前言：無工具也能守護伺服器

當防毒軟體、防火牆、專殺工具均不可用時，Windows 2000 Server 內建的命令列指令仍能提供有效防禦。本文實戰演示五大指令，涵蓋服務控管、密碼策略、連線稽核、帳號審計、主機隱藏。

1. net start — 掌握服務啟動狀態，封殺不明服務

C:\> net start
已經啟動的服務:
   EventLog
   NetLogon
   PlugPlay
   Schedule
   Server
   Workstation
   ... (列出所有 Running 服務)

發現可疑服務 (如不明名稱、非預設服務) 即以 net stop <服務名> 停用。配合 sc queryex type= service state= all 取得更詳細資訊 (PID、啟動類型)。

2. net accounts — 強制密碼策略，杜絕弱口令

需求	指令範例	說明
最小密碼長度 6 碼	net accounts /minpwlen:6	新建帳號強制生效
密碼最短使用天數	net accounts /minpwage:7	防止用戶立即改回舊密碼
密碼最長使用天數	net accounts /maxpwage:90	強制 90 天輪換
密碼歷史記憶	net accounts /uniquepw:10	不得重複使用前 10 組密碼
鎖定閾值/時間	net accounts /lockoutthreshold:5 /lockoutduration:30 /lockoutwindow:30	5 次錯誤鎖 30 分鐘，30 分鐘視窗

查看目前策略：net accounts (無參數)。

3. netstat — 監控網路連線，偵測木馬後門

netstat -a          # 所有連線與監聽埠
netstat -an         # 數字模式，速度快
netstat -ano        # 顯示 PID，關聯進程
netstat -r          # 路由表
netstat -e          # 介面統計
netstat -s          # 協定統計 (TCP/UDP/ICMP/IP)

異常指標：

• LISTENING 埠口非已知服務 (如 7626 冰河木馬、31337 Back Orifice)。
• 大量 SYN_SENT/SYN_RECEIVED 疑似掃描/洪水攻擊。
• 遠端 IP 為高風險地區/已知惡意 IP 清單命中。

發現異常立即：netsh interface set interface "區域連線" disabled 斷網 → 專殺工具掃描 → 清除 → 恢復連線。

4. net user — 帳號稽核，發現克隆/提權帳號

net user                    # 列出所有本地帳號
net user guest              # 查看 guest 群組隸屬、帳號狀態、密碼最後設定時間
net user suspicious_user    # 檢查可疑帳號是否屬於 Administrators
net user guest /active:no   # 停用 guest
net user guest /delete      # 刪除可疑帳號 (謹慎：可能破壞取證)

重點檢查： 預設帳號 (Guest, TsInternetUser, IUSR_*, IWAM_*) 是否被啟用/加入 Administrators；是否有命名類似系統帳號的偽裝帳號 (如 Admin1strator, Administator)。

5. net config server /hidden:yes — 隱藏伺服器名稱，降低偵察曝光

C:\> net config server /hidden:yes
命令成功完成。

• 執行後，「網路鄰居」/「我的網路位置」不再顯示此伺服器名稱。
• 不影響合法用戶透過 UNC 路徑 (\\server\share) 或 IP 直接存取。
• 配合防火牆僅開放必要埠口，大幅降低被隨機掃描發現機率。

進階組合技：批次腳本自動化稽核

@echo off
date /t & time /t > audit_%date:~-4,4%%date:~-7,2%%date:~-10,2%.log
net start >> audit_*.log
net accounts >> audit_*.log
netstat -ano >> audit_*.log
net user >> audit_*.log
net config server >> audit_*.log
rem 以排程工作每日執行，配合 log parser 分析異常

結語

五大指令輕量、無相依、核心功能直達 OS 核心。建議管理員熟背常用參數，並納入每日巡檢腳本、滲透測試後驗證腳本、應急響應急救包。工具在手，無工具亦能守門。