Chapter 2 TCPIP

TCP 一个包搞不定 建立会话 丢失重传 netstat -nb
UDP 一个包能搞定或一直发不建立会话

默认端口
http=TCP+80  ftp=TCP+21(控制面传信令) 20（用户面传数据）
https=TCP+443  SMTP=TCP+25 发邮件     POP3=TCP+110 收邮件
RDP=TCP+3389  远程桌面     DNS=UDP+53   
\\ip地址访问windows共享文件夹=TCP+445
\\计算机名访问 共享文件夹=TCP+139
SQL=TCP+1433   telnet=TCP+23
mstsc 连接远程桌面

服务和端口
netstat -a -n | more  查服务与端口
netstat -anb | find "3389" 

端口扫描目的：找有什么服务，服务有什么漏洞，然后入侵
telnet 192.168.80.120 80   没返回失败就是成功
NTFS权限   文件夹属性-安全-编辑-添加-everyone 高级-继承子文件夹

网络安全
	server上使用TCP/IP筛选实现网络安全
	没用的服务、端口停掉  只在网卡上开特定的端口
	本地连接-属性-TCP/IP高级-选项-TCP/IP筛选 只添加80，其他全部禁用(只影响入站)
		DNS域名解析就不行了，UDP端口没开，数据包扔出去返回结果发现端口没开
	本地连接-属性-高级-windows防火墙启用 不允许例外（什么端口都不开）


	win7防火墙实现安全 wf.msc    

开始运行-\\wiin\c$   系统默认配置里几个硬盘都开启了默认共享    
	不需要别人开共享，远程控制软件直接拷贝文件进去安装服务，把共享给打开
感觉自己被黑掉了，看看会话   底层攻击中，此命令看不见 netstat -n 
有人给我装了一个后门服务，怎么查 msconfig    同理，如果攻击中把回显的结果给劫持了，就看不见

windows防火墙（只影响入站）  现在的木马都是反向连接   防火墙防不住这种木马
IPsec 严格控制出入站流量    管理工具-本地安全策略-IP安全策略-新建 禁止所有   再加一个规则，TCP 80开一个小

门    最佳匹配规则（小明6点走，其他人5点半走）

win7的高级防火墙与IPSec类似，控制出入站流量



网络层协议
	IP协议  选择最佳路径的协议（RIP OSPF EIGRP BGP）
	ICMP协议  测试网络状态的协议 ping
	TTL默认值 128 windows	   64 linux     注册表可以改
	pathping 	


	C段攻击的上下文：是说一个网站托管在了机房，看看同网段中，其他机器是不是属于同一个公司的。
	212.90.875.2-254  有可能一个公司只托管了一台服务器，有可能托管了几台服务器
	212.90.875.2，212.90.875.4，212.90.875.106  假设这三台服务器都托管在一个机房内，这才有了C段一说。
	其他地址是其他企业托管的服务器
	
	IGMP 组播 在路由器上配置    还有点到点  广播  多播（组播）

	ARP协议  IP地址解析成MAC地址  arp -a 查缓存mac地址  arp -s 192.168.80.120 自己绑定一个地址
	arp -a 多看几台机器对比一下就能知道是不是arp欺骗   路由器配置绑定也可以
	arp一直广播会造成网络中断

抓包
	ASCII码 明文	SMB 共享文件用的协议     抓包广播包源IP地址胡编乱造的就发现不了，只能拔网线（二分

法拔）
	代理软件    账号密码，IP地址，MAC地址来控制   
	注意：网上发布一切政治敏感话题，你可能当它是玩笑，但是公安局可不把它当做笑话，会去你家调查取证
	家庭网 IP+账号密码拨号 在运营商是有记录的，他们可通过筛选时间+地址来定位你
	如果用代理服务发帖，网站记录的是代理服务器的地址。但是，前提为别人不会再去查代理服务器的数据，否

则还是会得到恶意的地址，通过时间+地址的匹配找到你。他们会把所有代理数据交给警方调查，还没有哪家企业的实力

可以抗衡政治机构。
	所以，大家从开始学习黑客的第一步起，就要养成不授权不要搭理别人的习惯，仅使用靶机来学习。包括网络

上很多众测的SRC组织，都是没授权的。测得好奖你几块钱，测得不好公安局请喝茶。