Windows 內建大量網路指令工具，除熟知的 ping、tracert、ipconfig 外，Netsh 是最強大且常被忽視的網路配置/診斷利器。本文聚焦 Netsh 在遠端管理、資訊蒐集、安全稽核場景的實戰用法。

Netsh 互動與腳本模式

Netsh 支援互動模式與腳本模式（netsh -f script.txt），適合遠端 Shell 自動化。以下範例皆以腳本方式示範，實際可寫成 .bat/.cmd 執行。

核心查詢指令集

1. TCP/IP 完整配置（等同 ipconfig /all）

echo interface ip > s.txt
echo show config >> s.txt
netsh -f s.txt
del s.txt

輸出包含：所有網卡名稱、IPv4/IPv6 位址、DHCP 狀態、DNS 伺服器、閘道、WINS 等，快速掌握主機網路拓撲。

2. ARP 快取表（比 arp -a 更詳細）

echo interface ip > s.txt
echo show ipnet >> s.txt
netsh -f s.txt
del s.txt

顯示介面、IP 位址、MAC 位址、類型（動態/靜態）、狀態，便於偵測 ARP 欺騙、IP 衝突。

3. TCP/UDP 連線狀態（等同 netstat -an）

echo interface ip > s.txt
echo show tcpconn >> s.txt
echo show udpconn >> s.txt
netsh -f s.txt
del s.txt

列出所有連線：本地/遠端 IP:Port、狀態、PID，排查異常連線、後門、資料外洩利器。

4. 網卡介面詳細資訊（無替代指令）

echo interface ip > s.txt
echo show interface >> s.txt
netsh -f s.txt
del s.txt

唯一能顯示介面索引、MTU、速度、雙工模式、收發封包/位元組統計、錯誤計數的指令，效能調校、故障診斷必備。

進階安全應用場景

• 基線稽核：將上述輸出納入自動化腳本，定期比對黃金映像，偵測未授權 IP 變更、網卡停用、異常路由。
• 入侵偵測輔助：結合 show tcpconn 發現非預期遠端連線（如不明 IP:4444、6667），快速定位受害進程。
• 遠端部署：配合 psexec、WinRM、SSH 推送腳本至受管主機，集中蒐集網路配置基線。

注意事項

• 需啟用 RemoteAccess 服務（net start remoteaccess），否則部分查詢失敗。
• 勿嘗試遠端修改 IP/路由：一旦設錯導致斷線，將無法遠端恢復（「叫天不應叫地不靈」）。
• 腳本檔 s.txt 執行後即刪除，避免留存敏感資訊。

Netsh 雖非萬能，但在無圖形介面、需自動化、需深度網路資訊的場景下，是系統管理員與資安人員的得力瑞士刀。善用腳本化、定期基線化，讓網路可見、可控、可稽核。