符号与命令
在windows环境下，命令可以不区分大小写，”和^这还有成对的圆括号()符号并不会影响命令的执行
1 2 3 4 5 #正常执行 whoami w"h"o"a"m"i wh""o^a^mi ((((Wh^o^am""i))))
“可以无限加但是^不行，因为^在cmd中是转义符
1 2 3 4 5 #正常执行 w"""""""""""""hoami w"""""""""""""hoa^m""i #执行失败 w"""""""""""""hoa^^m""i
set命令 设置一个变量
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 C:\Users\Mant>set PATHEXT=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH;.MSC PROCESSOR_ARCHITECTURE=AMD64 PROCESSOR_IDENTIFIER=Intel64 Family 6 Model 158 Stepping 9, GenuineIntel PROCESSOR_LEVEL=6 PROCESSOR_REVISION=9e09 ProgramData=C:\ProgramData ProgramFiles=C:\Program Files ProgramFiles(x86)=C:\Program Files (x86) ProgramW6432=C:\Program Files PROMPT=$P$G PSModulePath=C:\Program Files\WindowsPowerShell\Modules;C:\Windows\system32\WindowsPowerShell\v1.0\Modules PUBLIC=C:\Users\Public SESSIONNAME=Console SystemDrive=C: SystemRoot=C:\Windows TEMP=C:\Users\Mzzd\AppData\Local\Temp TMP=C:\Users\Mzzd\AppData\Local\Temp USERDOMAIN=DESKTOP-UJG10J1 USERDOMAIN_ROAMINGPROFILE=DESKTOP-UJG10J1 USERNAME=Mzzd USERPROFILE=C:\Users\Mzzd windir=C:\Windows
回显太多，删了一些。
开始操作
1 2 3 4 5 6 7 #设置一个变量并输出 C:\Users\Mzzd>set a=1 C:\Users\Mzzd>%a% '1' 不是内部或外部命令，也不是可运行的程序 或批处理文件。 C:\Users\Mzzd>echo %a% 1
直接输入%a%发现报错了，看到这个报错相信一些技艺精湛的好兄弟已经构造出奇技淫巧了
1 2 3 4 #执行whoami C:\Users\Mzzd>set a=whoami C:\Users\Mzzd>%a% desktop-ujg10j1\mzzd
又或者
1 2 3 4 C:\Users\Mzzd>set a=who C:\Users\Mzzd>set b=ami C:\Users\Mzzd>%a%%b% desktop-ujg10j1\mzzd
精简一下
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 C:\Users\Mzzd>set a=ser&&set b=ne&&set c=t u&&call %b%%c%%a% \\DESKTOP-UJG10J1 的用户帐户 ------------------------------------------------------------------------------- Administrator DefaultAccount Guest Mzzd 命令成功完成。 C:\Users\Mzzd>cmd /c "set envar=net user && call %envar%" \\DESKTOP-UJG10J1 的用户帐户 ------------------------------------------------------------------------------- Administrator DefaultAccount Guest Mzzd 命令成功完成。
不过这里要注意，变量a、b、c之前要未被赋值，不然使用的仍是之前赋的值
切割字符串
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 C:\Users\Mzzd>set a=12whoami9 #%a:~0% 取出a值中的所有字符 C:\Users\Mzzd>%a:~0% '12whoami9' 不是内部或外部命令，也不是可运行的程序 或批处理文件。 #%a:~0,6% 取出a的值，从第0个位置开始，取6个值 C:\Users\Mzzd>%a:~0,6% '12whoa' 不是内部或外部命令，也不是可运行的程序 或批处理文件。 #%a:~2,7% 取出a的值，从第2个位置开始，取7个值 C:\Users\Mzzd>%a:~2,7% 'whoami9' 不是内部或外部命令，也不是可运行的程序 或批处理文件。 #%a:~2,6% 取出a的值，从第2个位置开始，取6个值 C:\Users\Mzzd>%a:~2,6% desktop-ujg10j1\mzzd C:\Users\Mzzd>%a:~-2% 'i9' 不是内部或外部命令，也不是可运行的程序 或批处理文件。 C:\Users\Mzzd>%a:~-6,-1% 'hoami' 不是内部或外部命令，也不是可运行的程序 或批处理文件。 C:\Users\Mzzd>%a:~-7,-1% desktop-ujg10j1\mzzd
我们可以用切割字符串操作来进行一些绕过，比如空格被过滤
1 2 3 4 5 6 7 8 C:\Users\Mzzd>net%CommonProgramFiles:~10,1%user \\DESKTOP-UJG10J1 的用户帐户 ------------------------------------------------------------------------------- Administrator DefaultAccount Guest Mzzd 命令成功完成。
CommonProgramFiles=C:\Program Files\Common Files
for
可以看到for有四个参数：/d /l /r /f
1.参数/d
1 2 3 4 ::打印c盘根目录下所有文件夹 for /d %i in (C:\*) do @echo %i ::把当前路径下文件夹的名字只有1-3个字母的打印出来 for /d %i in (???) do @echo %i
for /d 不能匹配带隐藏属性的文件夹，在灵活性上不及 for /f 和 dir的组合；当“元素集合”中不包含任何统配符的时候，它完全是 “for %%i in (元素集合) do ……” 语句的翻版，但是又稍显复杂。感觉for /d 就是鸡肋一块。
2.参数/r
1 2 3 4 5 6 7 8 ::打印d:\wwwroot\web1\所有文件，然后保存在d:\wwwroot\web1\1.txt @echo off for /r d:\wwwroot\web\ %%i in (*.*) do echo %%i >>d:\wwwroot\web1\1.txt pause ::搜索并打印c盘中所有后缀为ini的文件 @echo off for /r f:\ %%i in (nc.exe) do echo %%i pause
程序列举了f盘所有目录，虽然每个目录最后都显示nc.exe，其实那不是真的存在nc.exe。之所以会这样，是因为计算机在搜索所有的目录，搜索过程伴随回显。为了只列举nc.exe存在的目录，程序应该这样写：
1 2 3 @echo off for /r f:\ %%i in (nc.exe) do if exist %%i echo %%i pause
执行则只显示nc.exe存在的目录了。
3.参数/l
1 for /l %i in (1,1,5) do start cmd
执行后打开5个cmd窗口，/l比较好理解，下文也有具体应用场景，这里不过多赘述。
4.参数/f
暂时留空
if
for批处理查文件
场景1windows nc下载
nc传文件:
场景2
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 @echo off echo **************************************** echo * 1.输出4位数字字典 * echo * 2.输出6位数字字典 * echo **************************************** set /p a=请选择 if %a%==1 goto:IV if %a%==2 goto:VI ::4位字典 :IV for /l %%i in (1,1,9999) do ( if %%i lss 10 (echo 000%%i>>pass_4.txt ) else (if %%i lss 100 (echo 00%%i>>pass_4.txt ) else (if %%i lss 1000 (echo 0%%i>>pass_4.txt ) else echo %%i>>pass_4.txt ))) goto:end ::6位字典 :VI for /l %%i in (1,1,999999) do ( if %%i lss 10 (echo 00000%%i>>pass_6.txt ) else (if %%i lss 100 (echo 0000%%i>>pass_6.txt ) else (if %%i lss 1000 (echo 000%%i>>pass_6.txt ) else (if %%i lss 10000 (echo 00%%i>>pass_6.txt ) else (if %%i lss 100000 (echo 0%%i>>pass_6.txt ) else echo %%i>>pass_6.txt ))))) goto:end :end pause
场景3
1 powershell -c "53,80,443 | % {tnc -informationlevel Quiet baidu.com -port $_}"
telnet 命令方式，也可用于探测端口状态：
1 for /l %i in (78,1,81)do start telnet 1.1.1.1 %i &timeout /t 1&taskkill /im telnet.exe /f
探测主机存活
1 for /l %i in (1,1,255) do @ ping 192.168.43.%i -w 1 -n 1 | find /i "ttl="
场景4
1 2 3 4 netsh interface ip set address "以太网" static 10.87.225.178 255.255.255.224 10.87.225.190 netsh interface ip set dns "以太网" static 10.87.13.86 primary netsh interface ip add dns "以太网" 10.87.13.87 ::右键使用管理员运行。
ps：因为环境原因，需要时常切换网络，把要更换的地址保存起来使用方便多了。
场景5
1 2 3 4 5 @echo off taskkill /f /im explorer.exe CD /d %userprofile%\AppData\Local DEL IconCache.db /a start explorer.exe
场景6
方法：
1 2 3 4 5 6 7 8 9 10 11 @echo off schtasks /create /tn "Del-7_log" /ru system /tr D:\aizzw\del-7.bat /sc weekly /d mon /st 01:00 start %systemroot%\tasks echo 创建成功，请检查... pause del /f Create.bat
参数解释：
schtasks /create 指的是创建计划任务
语法:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 schtasks/create/tnTaskName/trTaskRun/scschedule[/momodifier][/dday][/mmonth[,month...][/iIdleTime][/stStartTime][/sdStartDate][/edEndDate][/scomputer[/u[domain\]user/ppassword]][/ru{[Domain\]User|"System"} [/rpPassword]]/? 参数 /tnTaskName 指定任务的名称。 /trTaskRun 指定任务运行的程序或命令。键入可执行文件、脚本文件或批处理文件的完全合格的路径和文件名。如果忽略该路径，SchTasks.exe 将假定文件在Systemroot\System32 目录下。 /scschedule 指定计划类型。有效值为 MINUTE、HOURLY、DAILY、WEEKLY、MONTHLY、ONCE、ONSTART、ONLOGON、ONIDLE。 值 说明 MINUTE、HOURLY、DAILY、WEEKLY、MONTHLY 指定计划的时间单位。 ONCE 任务在指定的日期和时间运行一次。 ONSTART 任务在每次系统启动的时候运行。可以指定启动的日期，或下一次系统启动的时候运行任务。 ONLOGON 每当用户（任意用户）登录的时候，任务就运行。可以指定日期，或在下次用户登录的时候运行任务。 ONIDLE 只要系统空闲了指定的时间，任务就运行。可以指定日期，或在下次系统空闲的时候运行任务。 /momodifier 指定任务在其计划类型内的运行频率。这个参数对于 MONTHLY 计划是必需的。对于 MINUTE、HOURLY、DAILY 或 WEEKLY 计划，这个参数有效，但也可选。默认值为 1。 计划类型 修饰符 说明 MINUTE 1～1439 任务每n分钟运行一次。 HOURLY 1～23 任务每n小时运行一次。 DAILY 1～365 任务每n天运行一次。 WEEKLY 1～52 任务每n周运行一次。 MONTHLY 1～12 任务每n月运行一次。 LASTDAY 任务在月份的最后一天运行。 FIRST、SECOND、THIRD、FOURTH、LAST 与/dday参数共同使用,并在特定的周和天运行任务。例如，在月份的第三个周三。
例：
1 2 3 4 5 6 7 8 9 10 11 E:\sqlmap λ schtasks /create /tn "gaowei_scan" /tr c:\Users\Hasee\Desktop\3.py /sc minute /mo 30 成功: 成功创建计划任务 "gaowei_scan"。 #每30分钟运行一次3.py schtasks #查看所有计划任务 E:\sqlmap λ schtasks /delete /TN gaowei_scan /f 成功: 计划的任务 "gaowei_scan" 被成功删除。
