在网络安全攻防中，CMD命令行不仅是系统管理的核心工具，也是黑客渗透与防御对抗的关键战场。以下从伪装技巧、攻击手段、隐蔽执行、防御策略四个维度，结合实战案例揭秘终端攻防的核心技术。

一、基础命令伪装与攻击利用

1. 网络探测与隐蔽扫描

使用 `ping -t -l 65500 [目标IP]` 发起死亡之Ping攻击（高负载数据包），但需结合IP伪造或代理技术隐藏源地址。

防御：监控ICMP协议流量，限制单个IP的Ping请求频率。

通过 `tracert -d [目标IP]` 禁用DNS解析，减少日志记录中的特征信息。

2. 权限提升与账户操控

bash

net user [用户名] [密码] /add 创建隐藏账户

net localgroup administrators [用户] /add 提权至管理员

通过注册表修改用户属性（如隐藏账户的`F`标志位）实现持久化。

bash

schtasks /create /tn "UpdateService" /tr "恶意程序路径" /sc hourly /mo 1

伪装为系统更新任务，规避进程监控。

二、隐蔽执行与反检测技术

1. 无文件攻击与内存加载

在CMD中调用PowerShell执行Base64编码的恶意脚本：

cmd

powershell -ep bypass -enc JABzAGU...（Base64编码后的指令）

绕过传统杀毒软件的静态特征检测。

2. 编码与混淆技术

cmd

certutil -encode payload.bin payload.txt 编码文件

certutil -decode payload.txt payload.exe 目标端解码执行

利用系统工具实现有效载荷的隐蔽传输。

编写批处理脚本对命令进行动态解密，避免明文字符串暴露。

三、对抗EDR与终端防护

1. 绕过用户态钩子

使用汇编指令直接调用系统API（如NtAllocateVirtualMemory），避开EDR对用户态函数的监控。

注入代码到合法进程（如explorer.exe）中执行恶意操作，利用签名信任链绕过检测。

2. 日志清理与痕迹消除

cmd

wevtutil cl Security /quiet 清理安全日志

ipconfig /flushdns 清除DNS缓存

cmd

type malware.exe > legit.txt:malware.exe 将恶意文件附加到正常文件流中

利用NTFS文件系统特性隐藏数据。

四、防御策略与监控手段

1. 终端安全加固

2. 行为分析与异常检测

3. 输入过滤与沙箱隔离

CMD命令行的攻防本质是信息对抗与权限博弈。攻击者通过混淆、编码、内存加载等技术绕过检测，而防御者需结合行为分析、系统加固和实时监控构建多层防线。

注意：本文所述技术仅用于合法渗透测试与安全研究，未经授权使用可能涉及法律风险。