Nbtstat（NetBIOS over TCP/IP Statistics）是 Windows 內建工具，透過 UDP 137/138、TCP 139 協定查詢遠端 NetBIOS 名稱表，可獲取電腦名稱、工作群組/網域、登入用戶、網卡 MAC 位址等資訊，是滲透測試資訊蒐集、內網側向移動偵察的經典指令。

核心參數

參數	用途	需求條件	範例
-a <名稱>	查詢指定電腦名稱的 NetBIOS 名稱表	知道對方 NetBIOS 名稱（主機名）	nbtstat -a FILESERVER01
-A <IP>	查詢指定 IP 的 NetBIOS 名稱表	知道對方 IP 位址	nbtstat -A 192.168.1.50
-n	顯示本機已註冊的 NetBIOS 名稱表	本機	nbtstat -n
-c	顯示 NetBIOS 名稱快取（遠端名稱→IP 映射）	本機	nbtstat -c
-R	清除名稱快取並重新載入 LMHOSTS	本機	nbtstat -R
-r	顯示已解析/註冊名稱計數（廣播 vs WINS）	本機	nbtstat -r
-S	顯示工作階段表（IP 格式）	本機	nbtstat -S
-s	顯示工作階段表（名稱格式）	本機	nbtstat -s

輸出欄位解讀（以 nbtstat -A 192.168.1.50 為例）

NetBIOS 遠端電腦名稱表

名稱               類型         狀態
---------------------------------------------
WORKSTATION01   <00>  唯一      已註冊
MYDOMAIN        <00>  群組      已註冊
WORKSTATION01   <20>  唯一      已註冊  ← 檔案/印表機共用服務
MYDOMAIN        <1C>  群組      已註冊  ← 網域控制站
ADMINISTRATOR   <03>  唯一      已註冊  ← 目前登入用戶
MAC Address = 00-0C-29-1A-2B-3C

• 類型代碼（十六進位）：
  <00> 工作站服務/電腦名稱
  <20> 檔案/印表機共用服務
  <03> 目前登入用戶名稱
  <1B> 網域主控制站（PDC）
  <1C> 網域控制站（BDC/額外 DC）
  <1D> 主瀏覽器
  <1E> 瀏覽服務選舉
  <01> Messenger 服務（已棄用）
  <1F> NetDDE（已棄用）
• 狀態：「已註冊」= 作用中；「衝突」= 名稱重複；「釋放」= 已登出/關機。
• MAC Address：最後一行顯示目標網卡實體位址，極利於綁定 ARP、追蹤實體裝置、識別虛擬機廠商（OUI 查詢）。

實戰應用場景

1. 內網資產探索：掃描存活 IP → nbtstat -A IP 批次腳本 → 建立「IP-主機名-用戶-MAC-工作群組」資產台帳。
2. 側向移動偵察：發現 <20> 共用服務 → 嘗試 net view \\IP、net use \\IP\IPC$、SMB 弱口令噴灑。
3. 定位網域控制站：尋找 <1C>、<1B> 類型記錄，快速鎖定 DC IP。
4. 識別虛擬機/實體機：MAC OUI 前 3 位查詢廠商（VMware: 00:0C:29 / 00:50:56、VirtualBox: 08:00:27、Hyper-V: 00:15:5D）。
5. 故障排查：-c 檢查快取是否污染、-R 清除快取重解析、-r 確認 WINS/廣播解析比例。

限制與防禦

• 僅限啟用 NetBIOS over TCP/IP（預設啟用）的 Windows 系統；Linux/Samba 需啟用 nmbd 才回應。
• 防火牆封鎖 UDP 137/138、TCP 139/445 可阻擋查詢。
• 群組原則：電腦設定 → 管理範本 → 網路 → TCPIP 設定 → 停用 NetBIOS over TCP/IP 或 NIC 內容 → WINS 標籤 →「停用 NetBIOS over TCP/IP」。
• 現代網路建議全面停用 NetBIOS/LLMNR/MDNS，改用 DNS + mDNS（Bonjour/Avahi）或集中式資產管理系統（CMDB/掃描器）。