千锋 Web 安全学习笔记（二）：Windows 内网服务与安全管理

这份笔记对应 0x01 Windows内网服务模块（初探门径），包括随附的零基础材料和 1.1—1.15 模块。目标是把“服务怎样运行、谁能访问、怎样留下证据、发生问题怎样恢复”连成一条完整的学习线。

**资料依据：**本阶段 33 段视频中，32 段有声音轨已完整转写并阅读全文，另 1 段综合练习是无音轨录屏；同时逐视频核对首尾、约每两分钟的抽样画面，并对关键操作窗口放大检查。结合 21 份 PDF、1 份入门 PPT、原有文字与项目样例，补充讲师口头说明、演示步骤、实际失败现象和课内作业。机器转写没有逐字人工校对，重要术语与操作按画面、上下文和课件核对，时间点用于回看定位。标为“课堂演示”的结果对应视频中的环境；本文自拟的复现实验仍需你在自己的虚拟机验证。

课件包含 Windows Server 2003/2008、旧版 ESXi 等历史教学环境。应结合实际系统检查功能和菜单；密码、补丁、审计与服务配置以具体业务要求为准。原材料中省略条件或存在错误的命令，在相应章节作了说明。引用的页码均按文件实际页序计数，包含封面。命令示例以具备相应功能模块的较新 Windows 和 Windows PowerShell 5.1 为主；旧系统未必提供同名命令，可先用 Get-Command 检查，不能假定在 Server 2003 等环境中也可直接运行。

课程导航 ​

建议先顺序阅读到第九节，完成一个可访问的网站和受控共享，再学习域、证书、审计与防火墙。所有实验使用后文统一规划的隔离网段 192.168.56.0/24 与保留示例域 lab.example.test；本机已有同名网段时，先整体替换地址规划。视频中的原 IP、域名和端口在相应补充段落中说明，它们与这套自拟复现参数要分别记录。

一、先建立系统与 Web 的基础认识 ​

对应课程资料：0基础入门网络安全笔记/1、0基础入门.pptx 第 3—9、19—28 张，以及同目录的 0基础入门.md。

1.1 这一阶段为什么先学习 Windows ​

学习 Web 安全需要理解网站背后的运行环境。一次访问能否成功，既取决于业务代码，也取决于网络配置、名称解析、服务监听、文件权限和身份认证。Windows 内网服务课程提供的正是这些基础：知道服务如何搭建，才能判断异常来自配置、程序缺陷还是攻击行为。

可以把本阶段的知识连成一条链：

虚拟化准备实验环境
  → IP、DNS 让主机相互定位
  → 用户和组确定访问身份
  → NTFS、共享权限控制资源
  → IIS、FTP 等服务承载业务
  → 域、证书、防火墙统一管理与保护
  → 日志、备份、应急响应支持排查与恢复

1.2 计算机启动、操作系统和注册表 ​

CPU 执行指令，内存保存运行中的数据，磁盘提供持久存储。虚拟机中的这些部件由虚拟化平台呈现给客户操作系统，分配资源时仍然受物理主机容量限制。

课件使用 BIOS 说明启动过程。学习时记住“固件初始化与自检 → 选择启动设备 → 加载引导程序 → 启动操作系统”即可；采用 UEFI 的设备在具体实现和界面上会有所区别。为实验安装系统，应先确认目标是虚拟磁盘，避免误把物理机分区当成安装对象。

注册表是 Windows 保存系统、用户和软件配置信息的层次结构数据库。项类似目录，值包含名称、类型和数据；“配置单元”则是一组能够装载、保存的注册表数据。

课件第 21 张把 HKCR 简化为 HKCU 子树，学习时应以上表中的合并视图关系理解。Microsoft：HKEY_CLASSES_ROOT 的合并视图 初学时先练习查询和导出，编辑前记录原值与修改目的。注册表导出不等同于完整系统备份，也不适合代替完整的恢复方案。

# 查看操作系统基本信息，不修改配置
Get-CimInstance Win32_OperatingSystem |
    Select-Object Caption, Version, OSArchitecture

# 查询 Windows 版本相关注册表值
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion' |
    Select-Object ProductName, DisplayVersion, CurrentBuild

任务管理器用于观察进程与资源占用；资源监视器帮助定位磁盘、网络等活动；事件查看器用于追踪系统和应用记录。发生系统异常时，先记录时间、错误内容、近期变更，再检查相关日志。安全模式只加载有限的驱动和服务，适合定位驱动或软件冲突；进入安全模式本身不能证明恶意程序已被清除。

1.3 网站访问的基本链条 ​

Internet 是网络互联的基础设施；Web 是运行在其上的一种服务。浏览器是客户端，Web 服务程序和业务程序运行在服务端。域名方便记忆，IP 地址用于网络寻址，端口帮助把流量交给相应服务。

输入 URL
  → 浏览器检查相关缓存并进行名称解析
  → 建立与服务器的传输连接
  → 使用 HTTPS 时完成 TLS 协商与证书验证
  → 发送 HTTP 请求
  → Web 服务器或应用处理请求，必要时访问数据库
  → 返回 HTTP 响应
  → 浏览器解析内容，并继续请求图片、脚本等资源

以实验地址 http://web.lab.example.test:8080/index.html 为例：http 是协议，web.lab.example.test 是主机名，8080 是显式指定的端口，/index.html 是路径。DNS 解析出 IP 不代表该端口已经开放；端口能连通也不代表应用返回正确内容。

请求中常见的方法、路径、请求头和请求体分别回答“做什么、操作哪个资源、附带什么元信息、提交什么数据”。响应中的状态码、响应头和响应体说明服务器的处理结果。学习时至少区分：200 表示请求成功处理，301/302 常用于重定向，403 表示拒绝访问，404 表示资源未找到，500 表示服务端处理出错。状态码是线索，仍需结合应用的具体行为判断。

WAMP 表示 Windows、Apache、MySQL、PHP 的组合；LAMP 中的 L 表示 Linux。IIS 是另一种 Web 服务器。它们不是必须同时启动的组件：若两个程序尝试监听同一 IP 和端口，就可能发生冲突。

1.4 入门术语与靶场的作用 ​

靶场提供可恢复、可控制的练习对象。在这里，重点是观察“正常配置是什么、改变某个条件后发生什么、如何验证和恢复”。课内旧系统和带漏洞组件保留在隔离实验网，不作为日常办公、存放个人资料或对外提供服务的系统。

二、把安全知识放进项目流程 ​

对应课程资料：1.1 Windows方向安全项目介绍/01-未来工作中的安全项目是什么.md；1.2 安全检查-风险评估-基线加固/02-Windows主机安全检查项目指导.md 及同目录的主机检查报告样例。

2.1 常见项目各自解决什么问题 ​

安全检查、风险评估和加固相互关联，但工作边界不同。检查项目发现问题后，应记录并给出建议；实际修改需要纳入相应的变更范围。自动化工具的提示也需要核实，不能把所有扫描告警直接认定为有效漏洞。

2.2 一次主机检查如何形成闭环 ​

原资料强调报告、整改记录和复测，这比记住某款检查工具更有价值。课内提到的工具加白和外接介质接入，需要结合现场既有管理流程；不能为了方便检查而随意停用防护或接入未知设备。

2.3 视频讲解补充：先明确交付，再开始检查 ​

《01-未来工作中的安全项目是什么》用工作任务表串起客户交流、资产梳理、设备运维、检查、预演与保障；《02-Windows主机安全检查项目指导》则把一份检查报告和实际工具结果并排展示。视频的重点是把技术动作变成客户可以核对的项目记录。

视频还演示了把检查工具传入虚拟机、导出结果，并讨论现场介质接入和工具被防护软件拦截的情况。课堂中的拖拽传文件只是虚拟机操作；真实现场应使用允许的传输方式与既有工具管理流程。把工具加入信任也需要核实来源与用途，不能据此推导出应关闭防护。

三、虚拟化、vSphere 与实验环境 ​

对应课程资料：1.3.1 虚拟化环境搭建/虚拟化环境搭建.pdf 第 4—8、11—20 页；1.3.2 vsphere环境搭建/vsphere环境搭建.pdf 第 3—5 页及同目录 ESXi 安装文档；1.3.3 靶场介绍/第五课 靶场环境使用.pdf 第 2—4 页。上述路径均位于 1.3 虚拟化-Vsphere与VMware/。

3.1 理解虚拟机与虚拟化平台 ​

虚拟机是获得虚拟 CPU、内存、磁盘、网卡等资源的独立运行环境。宿主机承载虚拟化平台，客户机是在虚拟机中运行的操作系统。

vSphere 是虚拟化平台体系；ESXi 负责运行虚拟机；vCenter Server 提供多主机的集中管理。把 ESXi 安装到 Workstation 的虚拟机里属于嵌套虚拟化，适合理解结构，性能和兼容性仍受宿主硬件与配置限制。

课件演示了 Workstation 12/15 和 ESXi 6.5 等历史环境。本笔记保留其操作逻辑，不把这些版本当作新部署选型依据，也不要求为跟随课程而重装物理机系统或关闭系统防护。

3.2 先规划实验网，再导入靶机 ​

本文后续实验统一使用 192.168.56.0/24，子网掩码 255.255.255.0。这是笔记设计的示例网段，使用前确认它与现有网络、VPN 和其他虚拟网不冲突。

192.168.56.0 是该 /24 网段的网络地址，.255 是广播地址，不分配给普通主机。纯隔离实验不需要默认网关；DNS 按当前实验目标设置。没有上级路由设备时，不要仅为填满输入框而把 .1 随意写成网关。

仅主机网络的隔离还取决于宿主路由、共享和转发设置；双网卡虚拟机也可能把两个网络连在一起。旧靶机保持在内部实验网，避免额外挂接桥接网卡。进行课程 DHCP 实验时，关闭该实验虚拟网自带的 DHCP 服务，否则客户端可能从错误的服务器获得地址。

3.3 新建、导入和验证虚拟机 ​

首次搭建可按以下顺序进行：

1. 查看物理机可用内存、磁盘空间和硬件虚拟化状态，为宿主系统保留足够资源。
2. 新建虚拟机，选择与镜像匹配的客户系统、固件类型及虚拟硬件兼容级别。
3. 选择独立的虚拟机目录，配置适量 CPU、内存与虚拟磁盘，挂载可信来源的系统镜像。
4. 安装系统并设置独立的实验管理员口令，完成所需驱动和 VMware Tools 配置。
5. 连接到规划好的实验虚拟网，配置地址和主机名，记录初始状态。
6. 正常关机后创建基础快照，再开展服务配置练习。

识别常见文件时应纠正现有随堂笔记中的混淆：.vmx 是虚拟机配置文件，.vmdk 是虚拟磁盘相关文件，不能把 .vmx 当成快照可执行程序。迁移时应保留完整虚拟机文件集合，尤其不要遗漏快照依赖的磁盘链。

“我移动了它”和“我复制了它”主要影响虚拟机标识等信息的保留或重新生成，并非由“是否跨电脑”决定。保留同一台虚拟机身份与创建一个新副本是两种不同目的。克隆后的系统还应检查主机名、IP、应用配置和操作系统部署要求，避免地址冲突。

3.4 快照、克隆和备份各自解决什么问题 ​

课内强调关机做快照。初学实验采用正常关机后的快照便于控制状态；产品也可能支持运行时快照，是否包含内存、能否保证应用一致性需要另行确认。给多节点域环境回退时，还要考虑节点之间的状态关系，不能把单机回退理解为整套分布式环境自动恢复一致。

3.5 靶场启动的最小验证 ​

导入现成靶机后，先检查网络模式和 IP，再查看目标服务是否启动。PHPStudy 等集成环境只是管理服务的工具，界面显示“已启动”后仍要通过浏览器验证实际页面。

# 在实验服务器查看监听状态
Get-NetTCPConnection -State Listen |
    Where-Object LocalPort -in 80, 443, 8080 |
    Select-Object LocalAddress, LocalPort, OwningProcess

# 在实验客户端测试指定端口
Test-NetConnection 192.168.56.20 -Port 8080

如果服务启动失败，先查端口占用及服务日志；确认到底是 IIS、Apache 还是其他程序占用了目标端口，再调整绑定或服务状态。不要仅凭“打不开页面”就重装整套环境。

3.6 视频演示补充：从空虚拟机走到可以恢复的实验环境 ​

本目录同时包含《03-虚拟化环境搭建》综合课和七段细分视频；它们有内容重叠，也混用了不同软件与系统版本。复习时可以用综合课建立结构，再根据下面的时间点回看具体操作。视频中的旧版选择、磁盘容量和网段属于讲师当时的环境，本篇 192.168.56.0/24、DC01/WEB01/CLIENT01 是另行设计的复现实验参数。

本组视频也包含关闭更新、防护软件与非正规激活工具的旧课堂演示。这些动作不是完成虚拟化实验的必要前提。学习时保留可信镜像、合法授权、可验证配置和可恢复基线；“老版本更稳定”“关闭端口后漏洞不存在”等口头概括，也不能代替支持状态、补丁和具体风险的核查。

3.7 视频补充：恢复、克隆与靶场验证 ​

v013《6、U盘PE工具》：分清介质、启动环境和恢复目标。 00:07:34 演示把物理 U 盘连接到虚拟机：设备被客户机接管后，宿主机暂时看不到它，不应立即判断 U 盘损坏。00:09:31 提醒按设备与容量确认写入目标，制作启动介质会涉及格式化，不能把移动硬盘或系统盘当成空白 U 盘。跟练应先记下设备、容量、卷标及备份位置。

00:12:53 的 PE 桌面通过在虚拟机内安装的启动项演示，用于模拟从外部环境启动；它没有证明所有物理电脑的固件启动设置都相同。00:17:45 讲师明确区分“修改本地口令”与“读出原口令”，笔记保留这个区别，不把界面操作称为解密。00:26:41—00:27:54 的恢复建议更适合记住：误删重要文件后减少对原盘写入，先保存原盘副本，再在副本上尝试分析；“无损分区”或恢复工具的名称不能代替备份，也不能保证数据必然可恢复。

v014《7、虚拟机快照与克隆》：视频有一个值得记录的失败现象。 00:07:33 尝试验证前一节口令修改时没有成功，讲师解释此前已还原快照。复现时应记录当前恢复点和修改顺序，不能只凭上一节点击过“保存”就认定当前状态仍然保留。00:15:40—00:17:51 实际添加宿主共享目录并在客户机中访问；这是排查拖拽不便时的另一条传文件路径。仅映射自己的实验目录，确认是否需要写权限，结束后关闭临时共享。

00:23:36—00:26:59 演示从已有快照创建链接克隆，随后看到源快照受到保护的标记。保存实验环境时应同时保留父虚拟机和依赖的快照链。00:27:20 起讨论副本配置相同，跟练后至少重新核对主机名、IP、网卡标识与应用配置；不要把改了主机名当成所有系统身份都已重新生成，也不要把任意连通故障都归因于同名主机。

v015《04-vsphere环境搭建》：先读网络配置，再填写管理地址。 00:06:49 起主要沿课件截图解释 ESXi 创建和安装过程；00:15:52 后回到实际管理控制台配置 IPv4。截图里的安装向导与现场控制台操作应分别记录，避免误以为整段从零连续安装完成。00:17:28 打开虚拟网络编辑器查看课堂 NAT 网络的子网、掩码和网关，再返回 ESXi 填写管理地址；跟练应使用自己实际配置，不能照抄课堂地址或把网络地址分给主机。

00:19:13—00:20:31 用浏览器访问管理地址并进入后台，说明管理入口可用，不等于所有客户虚拟机和业务都已验收。课内浏览器证书警告应结合访问对象、名称和信任关系核查，不能把警告解释成“没有使用 HTTPS”或“双重认证”。这里的旧版 ESXi 和模板预设口令均不作为自己的部署标准。

v016《靶场环境使用》：先验证正常服务，再练习漏洞。 00:00:33 先说明复现要记录操作系统、中间件及应用环境，而不只是完成一次靶场题目。00:08:04 查询地址后，00:09:04 浏览器首次访问失败；随后 00:09:33 启动集成环境中的服务并刷新，页面才正常显示。跟练记录应分成“主机地址已确认、服务已启动、页面已返回”三个证据，不能把控制面板变绿当成全部通过。

00:11:59—00:16:00 用后缀推测技术栈，只适合作为待验证假设，不能据此确定唯一系统、中间件或数据库。尤其 .asp 与 .aspx 需区分，可参照 Microsoft 的处理程序说明；MySQL 与 MariaDB 也不能简化成一次改名，参见 MariaDB 对两者关系的说明。视频的作用是引导提出架构问题，最终仍以配置、服务与应用证据验证。

四、IP、远程管理、用户与组 ​

对应课程资料：1.4 Windows 账户相关/1.4.1 服务器远程管理与IP地址/第六课 服务器远程管理与IP地址.pdf 第 5—11、15—22 页；1.4.2 用户与组管理/用户与组管理.pdf 第 4—12、15—16 页；1.4.3 Windows开机密码相关/02 破解Windows密码.md。

4.1 四个网络参数要分清 ​

地址相近不一定处于同一网段，必须结合掩码判断。同网段主机间通信通常不需要经过默认网关；跨网段则需要适当的路由。课件把“两台主机设为同网段”作为入门条件，这是简化实验的方法，远程桌面并非只能在同一网段使用。

ipconfig /all
route print
ping 192.168.56.20
Test-NetConnection 192.168.56.20 -Port 3389

ping 主要检查 ICMP 回应，可能被策略禁用；它失败不能直接证明主机离线，它成功也不能证明 RDP 或 Web 服务正常。有效的排查顺序是网卡与地址、路由、目标端口、认证和应用。

4.2 远程桌面如何工作 ​

RDP 用于远程图形桌面操作，默认端口为 3389，涉及 TCP，也可使用 UDP 改善体验。客户端可运行：

mstsc /v:192.168.56.20

要连通，需要目标系统支持相应的远程桌面主机功能、服务已开启、网络路径与防火墙允许访问，登录账户同时满足组成员关系和相应的登录策略。仅知道口令或仅加入某个组，并不保证可以登录。

实验时在目标虚拟机控制台开启远程桌面，为专用实验账户授予所需权限，只允许实验网中的管理来源访问。保留控制台入口，以便配置失误后修复。连接后区分“断开”与“注销”：断开可能保留会话和其中运行的程序，注销则结束该用户会话。

课件提到更改端口和 mstsc /admin。更改端口会增加运维配置，不应替代身份验证、访问限制和日志审计；/admin 用于管理会话，不能理解为绕过权限或必然强行替换任意用户。VNC 是另一类远程屏幕控制方案，其认证和传输保护取决于具体产品配置，不能因为能显示远程桌面就假定连接已加密。

4.3 身份用 SID 标识，权限常通过组分配 ​

用户名便于人识别，SID 是 Windows 安全机制用于标识账户等安全主体的标识符。账户重命名通常保留原 SID；删除后重新建立同名账户，则不能假定它仍是原来的身份。

本地账户由本机管理，域账户由域集中管理。登录与访问资源时需要明确使用的是 计算机名\用户、域名\用户 还是用户主体名称，避免把同名的本地账户和域账户混为一谈。

推荐通过“用户 → 业务组 → 资源权限”建立关系。例如，把编辑人员加入 LabEditors，给组配置实验目录的修改权限；岗位调整时主要变更成员关系，避免逐个文件维护个人权限。

whoami
whoami /user
whoami /groups
net user
net localgroup

实验任务是创建一个普通测试用户和一个业务组，把用户加入组后，用该用户验证资源访问，再移出组并重新登录验证变化。不同语言系统的内置组显示名称可能不同，应以本机实际名称为准。

4.4 从口令恢复课程理解物理安全 ​

本地账户的口令验证数据与域账户的验证数据分别由不同机制管理。SAM 与本地账户信息有关，但不能把它理解为保存所有账户明文口令的文本文件；哈希也不是能够直接“解密回来”的普通加密。

原资料演示 PE 和口令相关工具，其学习重点是：仅保护正常登录界面，不能替代对设备、启动介质、磁盘与恢复密钥的保护。离线环境能否修改系统数据，取决于磁盘保护、权限、启动配置和可获得的密钥等条件。使用经授权的账户恢复流程，并记录恢复操作；不把停用防护或获取其他人的凭据作为日常运维步骤。

原笔记中“默认口令有效期 42 天”“某补丁以后一定没有明文凭据”等表述与具体系统和配置有关，不作为通用结论。实际检查应查看生效的账户策略和保护配置。

4.5 视频演示补充：把连接失败、账户状态和凭据保护分开排查 ​

下面的时间均对应原视频。第17段课堂在自动获取的 192.168.177.0/24 网段中演示，并用相邻地址说明静态配置；这是录课环境。本笔记的 192.168.56.0/24 是另行设计的重现实验，网关、DNS 和空闲地址都应以自己的拓扑为准。

本节另有几处口头说法需要校正：子网相同应比较地址与掩码得到的网络前缀，不能仅比较掩码是否相同；APIPA 的特定范围是 169.254.0.0/16，不能扩展成所有 169 开头地址；回环地址也并非“不能通信”，而是用于本机通信。账户有效权限不能仅凭组名推断，Everyone 也不等于自动授予完整访问权。课堂关于密码到期的笼统法规表述不能作为统一合规结论，应按当前适用制度、身份类型和风险核查；禁用与锁定也不能混用。

视频中的公网情报查询和“反制”叙述只用于理解暴露面，不构成访问第三方资产的授权。凭据段落保留防护边界和证据判断，不把关闭保护、降低凭据保护或重用示例密码作为环境搭建步骤。

五、NTFS 权限与文件共享 ​

对应课程资料：1.5 Windows 权限相关/1.5.1 NTFS安全权限/NTFS安全权限.pdf 第 4—17 页；1.5.2 文件共享服务器/文件共享服务器.pdf 第 4—13、16 页。

5.1 先分清“允许登录”和“允许操作文件” ​

身份认证回答“你是谁”，资源授权回答“你可以做什么”。账户能登录，不代表可以读取所有目录；能列出文件名，也不等于能读取文件内容、修改数据或删除文件。

NTFS 用访问控制列表表达主体与权限的关系。常见基本权限包括读取、读取和执行、写入、修改、完全控制；高级权限进一步细分读取数据、创建文件、删除、更改权限、取得所有权等动作。

删除行为还可能受到父文件夹“删除子文件夹及文件”等权限影响，不能只检查文件本身的一条“删除”勾选项。

5.2 权限如何累加、继承和拒绝 ​

允许权限通常可以从用户和多个组累加。例如，用户通过一个组获得读取，通过另一个组获得写入，在没有其他限制时可能同时具备这两类能力。父文件夹上的可继承条目则可能传播给子文件夹和文件，是否生效还取决于适用范围和继承设置。

课件将规则简写为“拒绝优于允许”。这适合作为某些基础例子的提醒，但不能扩大为所有 ACL 情形下的绝对规则。规范排序的 DACL 中，显式条目在继承条目前；显式条目内部拒绝在允许前；继承条目按父级到更远祖先的顺序处理，并在相应层次先拒绝后允许。访问检查会按条目顺序处理请求的权限，因此需同时考虑条目来源、排序、适用范围及请求的具体权限。Microsoft：DACL 中 ACE 的顺序

实际操作以“高级安全设置 → 有效访问”以及真实测试账户的访问结果交叉验证。不要给 Everyone 添加大范围拒绝来修补复杂授权；这可能同时影响本来应该正常使用资源的人。

# 查看目录 ACL，不修改权限
Get-Acl 'C:\LabShare' | Format-List
icacls C:\LabShare

5.3 共享权限和 NTFS 权限是两道关口 ​

SMB 共享允许通过 \\服务器\共享名 访问文件资源。直接在服务器本地访问目录时，主要检查 NTFS 等本地访问控制；通过网络共享访问时，还要经过共享权限检查，并受身份、登录权和相关策略影响。

在分别算清两侧有效权限之后，可以把最终的网络访问能力理解为两侧都允许的操作，即交集。

在共享名末尾加 $ 可减少普通共享列表中的显示，但知道名称的人仍可请求访问；隐藏共享不是访问控制。C$ 等默认管理共享也必须依靠真实权限和管理策略保护。

5.4 实验：只读人员与编辑人员访问同一份资料 ​

准备条件： WEB01 使用 NTFS 实验目录 C:\LabShare，含无敏感信息的测试文件。准备 LabReaders、LabEditors 两个组及各自的普通测试账户。

1. 给 LabReaders 配置读取，给 LabEditors 配置修改；保留必要的管理员与系统管理权限。
2. 检查继承是否带来了与实验目标冲突的宽泛写入授权，再决定是调整父目录还是在本实验目录处理继承。
3. 将目录共享为 LabShare，共享层面仅授予指定组所需权限。
4. 从客户端访问 \\192.168.56.20\LabShare，分别使用两个测试身份完成读取、创建、修改、删除操作。
5. 记录成功和被拒绝的动作，核对有效访问结果；结束后删除实验共享或恢复预设状态。

预期结果： 只读账户能够读取，无法创建、改写或删除；编辑账户具备设计的编辑能力。若结果不符，检查登录的真实身份、组成员关系、继承条目和共享权限。Windows 可能复用已有 SMB 会话，切换账户时应先确认连接状态，避免以为换了用户名却仍在复用旧身份。

课件中的配额和文件筛选分别解决“容量”和“文件类型管理”问题。扩展名筛选不能代替恶意文件检测；目录容量限制与 NTFS 磁盘配额也要区分，不能把所有限制都理解为同一层的功能。

5.5 视频演示补充：权限配置要用实际身份验收 ​

这两段视频最有价值的部分，是把配置窗口、失败提示和切换用户后的结果连在一起看。仅看管理员账户下的属性页，不能代替实际用户访问测试。

课堂把“100 MB 配额”口头解释为“单个文件最大 100 MB”，这不准确：此处 FSRM 配额约束的是指定目录树的空间使用，是否硬性阻止超额还要看配额类型；按文件组/扩展名进行屏蔽也不等于鉴定文件内容安全。视频实际创建文件屏蔽与课后提出的容量要求应分别记录，不能把课后要求当作已经完成的测试。

讲解前半段曾把停止管理共享说成通用整改动作，31:45—32:19 又补充域或其他环境存在依赖，不能一律停用。应先核实管理、备份、域服务等依赖，再决定保留、限制还是移除。视频中的空密码控制台登录也不应理解为“低权限 Shell”：它限制的是空密码本地账户的远程使用方式，并不凭此决定账户权限。

六、IIS Web 服务：让站点可访问并能解释访问结果 ​

对应课程资料：1.6 Windows 服务相关/1.6.1 Windows下的web服务角色/Windows下的web服务角色.pdf 第 4—9、12 页。

6.1 站点、绑定、目录和进程身份 ​

一个 Web 站点需要确定物理目录和访问入口。IIS 的绑定把协议、IP 地址、端口及主机名等信息联系起来。多个站点可以通过不同 IP、不同端口，或相同 IP 与端口下的不同主机名进行区分。使用域名分站点时，DNS 负责找到服务器，HTTP 请求中的主机名再参与站点选择；单纯新增 DNS 记录不会自动建立 IIS 站点。

虚拟目录用 URL 中的别名映射其他物理目录；Web 应用还涉及独立的应用边界和运行配置。应用程序池提供进程隔离等能力，其身份需要读取站点文件，而写入能力只赋予确有需要的目录。不要为解决访问错误直接给整个站点目录授予宽泛完全控制。

6.2 实验：一个服务器上的两个静态站点 ​

准备条件： WEB01 地址为 192.168.56.20，在隔离网中安装 IIS 所需的 Web 服务器与静态内容功能。创建 C:\LabSites\SiteA、C:\LabSites\SiteB，各放一份写有不同标识的 index.html。

1. 为两个站点配置独立物理路径，分别绑定 8080 与 8081。
2. 确认默认文档设置及应用程序池身份对对应目录的读取权限。
3. 仅在实验网范围内允许客户端访问这两个 TCP 端口。
4. 先在服务器本地，再在客户端访问两个地址，核对页面标识。
5. 将其中一个站点增加为主机名绑定的练习，并在 DNS 实验中为其创建名称记录。

Test-NetConnection 192.168.56.20 -Port 8080
Invoke-WebRequest 'http://192.168.56.20:8080/' -UseBasicParsing |
    Select-Object StatusCode

预期结果： 不同端口返回不同站点内容。若无法访问，依次检查站点状态、绑定冲突、监听地址、防火墙、默认文档和文件权限。403 可能与访问配置、目录浏览或权限有关，404 可能涉及路径、资源或处理程序；应结合 IIS 日志中的状态与子状态定位，不能只凭一个状态码直接给出唯一原因。

6.3 视频演示补充：把文件、默认文档和绑定串起来验证 ​

第22段先搭建可访问的静态站，再解释多站点。原视频采用 HTTP 默认端口 80，课后举例的新端口是 8088；本笔记重现实验的 WEB01、HTTP 8080 与 HTTPS 443 是另行规划的参数，不能写成讲师现场使用的值。

视频把子域名示例与虚拟目录混讲，也说同盘部署后即可访问所有网站。复习时应拆开：子域名、DNS 解析、站点绑定、虚拟目录和应用程序池是不同层；横向影响取决于进程身份、目录 ACL、应用隔离和可利用条件，不能仅因同一块磁盘就判定可以跨站读取。稳定地址是服务设计要求，静态配置和受管理的 DHCP 保留地址都可实现，应以实际地址管理方案为准。

课堂的版本流行程度和漏洞库检索结果只反映录课时的讨论，不能直接用来判断当前系统是否安全。“没有搜到公开条目”不等于没有风险；默认名称也不自动等于漏洞，关键仍是服务是否需要开放、绑定与身份权限是否合理、组件是否受支持并完成安全更新。

七、DHCP：自动分配网络参数 ​

对应课程资料：1.6 Windows 服务相关/1.6.2 Windows下的DHCP服务角色/Windows下的DHCP服务角色.pdf 第 4—12、17—21 页。

7.1 DORA 解释首次租约过程 ​

DHCP 可以向客户端提供 IP、掩码、网关、DNS 等参数。服务器通常配置固定地址，并根据作用域管理可分配的地址和租期。DHCPv4 的常见端口是服务器 UDP 67、客户端 UDP 68。

客户端                         DHCP 服务器
  | ---- Discover：寻找服务器 ----> |
  | <--- Offer：提出地址等配置 ---- |
  | ---- Request：请求所选配置 ---> |
  | <--- ACK：确认租约 ----------- |

这四步称为 DORA。它是典型首次获取过程，不代表每次续租都重复四步，也不能把所有报文无条件记成广播。

客户端通常在租期约 50% 时进入续租阶段，先尝试向原服务器请求续租；若未成功，到约 87.5% 时进入重新绑定阶段，尝试寻找可用服务器。具体计时可由协议参数指定。T1 续租没有成功，并不意味着立即失去仍在有效期内的地址；租约到期仍未续租成功时，不能继续把过期地址当作有效配置使用。RFC 2131，第 4.4.5 节

7.2 作用域、排除、保留与选项 ​

Windows 域环境中的 DHCP 授权帮助管理域内合法服务器，但它不是网络中所有设备都会遵守的认证屏障，不能由此认定接入网络的任意第三方 DHCP 都被阻止。服务器、作用域、保留等层次存在配置覆盖关系，检查时应核对客户端最终获得的值。多台 DHCP 可以通过协调的地址规划或故障转移提供冗余；导致问题的是未协调的重叠地址池、错误参数等配置，不能仅因发现两台服务器就断定存在冲突。

7.3 实验：让客户端获得可预测的配置 ​

准备条件： 实验虚拟网不连接物理生产网，且已关闭该虚拟网自带 DHCP。DC01 使用固定地址 192.168.56.10。完成域搭建后，可把本实验作为域内 DHCP 练习，并按环境要求完成授权。

1. 安装 DHCP 角色，创建 192.168.56.100—192.168.56.150 作用域，掩码为 /24。
2. 为后续专用实验保留 .110—.119 作为排除范围。固定服务器地址 .10、.20 位于动态池之外。
3. 在 DNS 已部署的前提下，将 DNS 服务器选项设为 192.168.56.10，DNS 后缀设为 lab.example.test；无路由器时不下发虚构网关。
4. 在 CLIENT01 控制台把地址和 DNS 设置为自动获取，再申请租约。
5. 对比客户端显示与服务端租约清单，记录地址、服务器、租约时间及选项值。

# 在实验客户端控制台运行；释放租约会暂时中断该客户端网络
ipconfig /release
ipconfig /renew
ipconfig /all

预期结果： 客户端获得作用域内且不在排除范围的地址，DHCP 服务器和 DNS 信息与设计一致。若出现 169.254.x.x，优先检查 DHCP 是否可达；若获得意外网段，检查虚拟网络模式与其他 DHCP 来源。跨子网获取地址需要 DHCP 中继或相应网络配置，广播通常不会直接穿越路由器。实验结束后，将 CLIENT01 恢复为静态地址 192.168.56.30/24，DNS 指向 .10，以便与后续实验的来源限制保持一致。

7.4 视频复核：作用域配置后，到客户端验证租约 ​

《Windows下的DHCP服务角色》在 00:20:00—00:24:00 安装角色并调整虚拟机网卡；00:28:00—00:32:00 才进入作用域向导，配置地址范围、排除地址、租期和网络选项。装好角色与能够分配地址是两个状态，复现时先确认客户端和服务器连接到同一实验虚拟网，再检查作用域是否已激活。

讲师在 00:07:58—00:08:53 用“找中介、选房、签约、交钥匙”类比 DORA；00:16:02—00:19:11 则解释为什么先做台账，把设备、责任人、IP、MAC 与固定地址用途对应起来。对照原理时需要修正口头简化：不能把四类报文一律记成广播，也不能用“IP 较小或物理距离近”作为所有客户端选择 Offer 的规则。169.254.0.0/16 是 IPv4 链路本地地址范围，不是“整个 169 网段都不真实”；在本实验中出现该地址时，应排查为什么没有得到预期租约。

00:34:00 的客户端命令输出包含 IPv4 地址、掩码、租约获得/到期时间、DHCP 服务器和 DNS 服务器；服务器控制台的地址租用记录则用于对应客户端。检查时把这些字段一起记录，不能只看到一个正常网段地址就认定它来自自己配置的服务器。

00:40:00 附近板书的释放命令有拼写过程，实际应使用 ipconfig /release；重新申请用 /renew，完整查看用 /all。末尾 00:45:22 的课内作业还要求设置排除范围与 006 DNS 服务器选项。可以在现有实验中加上检查：排除地址没有分给客户端，客户端获得的 DNS 与作用域配置一致。

00:34:15—00:37:42 还演示了在地址租用记录中定位客户端、转为保留以及修改 003 路由器和 006 DNS 服务器选项；00:40:26—00:42:57 展示 DHCP 配置备份与还原入口。租约要结合当时的时间才能用于回溯；备份则需要可信来源与访问控制，不能因为它只是一个配置文件就随意修改或恢复。

八、DNS：从记住 IP 到理解名称服务 ​

对应课程资料：1.6 Windows 服务相关/1.6.3 Windows下的DNS服务角色/Windows下的DNS服务角色.pdf 第 4—13、15—22、25—26 页。

8.1 域名、区域和权威服务器 ​

DNS 是分布式、层次化的名称系统。域名空间表达名称层次，区域则是管理与权威数据的边界；一个区域不一定包含其所有子域，子域被委派出去后可以由其他权威服务器负责。

主机全名如 web.lab.example.test。本笔记采用 .test 下的实验名称，DNS 数据在自己的实验服务器上维护，不依赖注册公网域名。

传统主辅区域与 AD 集成区域要分开理解：

客户端的“首选/备用 DNS”是查询目标设置，与服务器上的“主要/辅助区域”不是同一个概念；DNS 子域或委派也不会自动建立 AD 子域。

8.2 递归、迭代、转发与缓存 ​

客户端通常向配置的递归解析器请求结果；解析器可以从缓存或本地权威数据回答，也可以向上游查询。典型解析器向根、顶级域和相应权威服务器查询时使用迭代过程，从转介中逐步找到答案。若配置转发器，本地解析器通常把查询交给上游递归服务器处理，不能把“服务器之间的查询”一律称为迭代。

正向与反向描述的是查询内容方向，递归与迭代描述的是查询处理方式，它们不是同一组分类。DNS 常使用 UDP 53，也需要支持 TCP 53 处理相应场景，不能只放行 UDP 就认为服务完整。

缓存能减少重复查询，但也会造成修改后暂时看到旧结果；TTL 表示记录可缓存的时间。NXDOMAIN 等否定结果也可能被缓存。排错时要知道正在查询哪一台 DNS、查询哪种记录，而不是反复刷新浏览器。

子域可以继续放在父区域中管理；委派则把相应子域的权威职责交给另一个区域及服务器。区域传送用于维护副本，需要限制到预期的复制伙伴，避免向无关对象暴露成批内部记录。

8.3 实验：用自己的名字访问 IIS ​

准备条件： DC01 已安装 DNS，固定地址 .10；WEB01 为 .20。若后续采用 AD 集成 DNS，按域部署过程管理该区域，避免重复创建相互冲突的独立区域。

1. 创建或确认正向区域 lab.example.test。
2. 新增 web 的 A 记录，指向 192.168.56.20；需要练习别名时再创建指向该主机名的 CNAME。
3. 将客户端 DNS 指向 192.168.56.10，显式向它查询记录。
4. 在 IIS 中配置对应主机名绑定，访问 http://web.lab.example.test:8080/。
5. 记录 DNS 查询结果与浏览器结果，分别确认解析和站点选择是否正确。

nslookup web.lab.example.test 192.168.56.10
Resolve-DnsName web.lab.example.test -Server 192.168.56.10 -Type A
Test-NetConnection web.lab.example.test -Port 8080

预期结果： 查询得到 .20，页面显示目标站点。若 IP 访问正常、域名失败，先检查 DNS 设置、记录和缓存；域名解析正常却显示另一站点，再检查 IIS 绑定。nslookup 显示 DNS 服务器名称为未知，可能只是缺少该服务器 IP 对应的 PTR，不能据此判定正向解析失效。

域成员需要能够查询 AD 所需的内部记录。给域客户端配置公共 DNS 作为所谓“备用”可能造成解析不一致，不能用它替代内部 DNS 的正确部署。纯隔离实验中的公网名称无法解析，也不必为此临时接入外网。

8.4 视频复核：A 记录与网站绑定需要分别验证 ​

《Windows下的DNS服务角色》在 00:24:00—00:26:00 安装 DNS 并调整客户端的 DNS 参数；00:30:00 展开正向查找区域，00:32:00 新增 www 主机的 A 记录，00:34:00 再到客户端浏览器用域名打开测试页。这个顺序把三个条件串了起来：区域内有记录、客户端查询正确的 DNS、解析出的主机提供正确站点。

00:36:00—00:40:00 讲师在查询图上补充 hosts、IP 和查询方向；00:44:00—00:48:00 再讨论子域、委派和转发。对照自己的环境时，分别记录“名称数据由谁维护”和“不能本地回答时交给谁查询”，避免把创建子域、委派及转发器视为同一种操作。

视频中演示使用的名称与地址只是课堂参数。复现本笔记时仍采用 lab.example.test；如果使用 hosts 临时绕过 DNS 测试网站，要在结果中标明，不能据此宣称 DNS 实验已通过。

口头讲解中还有几处不能照记：00:08:44—00:10:29 所说的“全球只有 13 台”应区分为 13 个命名根服务标识和分布在多地的服务器实例，参见 IANA 根服务器说明；00:17:20—00:18:05 的客户端首选/备用 DNS，与主要/辅助区域也不是同一组分类。00:24:57—00:27:45 的实际排错，是把上一课临时下发的 DNS 改为刚部署的内部 DNS，并让客户端更新参数。域环境应使用能解析内部域的 DNS，不能把课堂中的公网备用地址直接照搬过来。任何域名后缀的测试都需要授权，不能把 .com 等后缀当成可以自由测试的依据。

九、FTP：文件传输中的控制连接与数据连接 ​

对应课程资料：1.6 Windows 服务相关/1.6.4 Windows下的FTP服务角色/Windows下的FTP服务角色.pdf 第 4—13、16—18 页。

9.1 FTP 为什么能登录却列不出目录 ​

FTP 使用控制连接交换命令，另外建立数据连接传输目录列表和文件。常见控制端口是 TCP 21；控制通道连接成功，只能证明命令连接建立，不能证明数据通道也畅通。

因此，“FTP 数据永远只走 20 端口”是错误记法。IIS 的被动 FTP 可以配置数据通道端口范围，并与防火墙、外部地址配置保持一致。Microsoft：IIS FTP 防火墙设置

传统 FTP 的凭据和内容可能明文传输；FTPS 是在 FTP 上使用 TLS，SFTP 则基于 SSH，不能把三者当作同一种协议的不同名字。客户端也需要明确选择服务器实际提供的协议。

9.2 认证、授权和 NTFS 权限需要同时满足 ​

IIS 可以安装 FTP 相关角色服务，Serv-U 等软件也能提供文件传输服务。建立站点时，需明确绑定、物理根目录、认证方式、授权规则和数据通道设置。某用户通过登录认证，并不等于自动获得目录读写能力；服务授权和底层文件权限仍然会限制操作。

课件为了演示简化环境，出现“关闭防火墙”和通过浏览器访问 FTP 的做法。复现实验应按所用客户端和服务配置实际需要的规则，使用支持相应协议的专用客户端，不把关防火墙当成标准步骤。匿名访问也不是默认必需功能。

9.3 实验：上传与下载分离 ​

准备条件： 在 WEB01 中创建独立的 C:\LabFtp 目录，准备普通上传账户与只读账户，仅传输无敏感信息的测试文件；在隔离网中练习控制与数据连接。需要练习 TLS 时，先完成后文的证书知识。

1. 安装并创建 FTP 站点，绑定实验服务器地址，明确认证方式与用户范围。
2. 分别配置上传、只读账户的服务授权和 NTFS 权限，不使用通用管理员账户传文件。
3. 选择一种数据模式；使用被动模式时，设定有限的数据端口范围，并仅对实验来源放行必要端口。
4. 用支持该模式的客户端分别测试登录、列目录、下载、上传和删除，记录各动作预期。
5. 核对文件归属、权限和日志，结束后停止实验站点或恢复初始状态。

预期结果： 只读账户能够列目录和下载，不能上传或删除；上传账户只能执行设计允许的操作。能登录但无法列目录时，优先检查数据连接和目录权限；返回认证失败时，再检查身份格式、认证配置与账户状态。

课件还设计了“FTP 上传网页到 IIS 根目录”的案例。它说明上传权限会直接影响网站内容，因此业务环境需要区分发布内容、普通上传文件和可执行脚本的存储位置，控制发布权限。不要把所有用户可写目录直接配置成可执行网站代码的目录。

9.4 视频复核：区分课件里的成功截图与现场连接结果 ​

《Windows下的FTP服务角色》在 00:06:00—00:12:00 准备目录并通过 IIS 添加 FTP 站点，涉及绑定、身份认证与授权；00:20:00 又展示 FlashFXP 的主机、用户名、密码和端口配置。客户端应按服务实际提供的协议与数据模式选择，登录凭据不写进公开笔记。

00:18:00 的画面值得单独记住：课件中的静态命令截图显示登录、列目录、下载及 226 返回，而现场终端的连接尝试出现中断。课件展示的成功样例不能代替自己这次连接的结果。 验收应保留实际客户端的返回码、目录列表与测试文件，分别确认认证、数据连接和文件权限。

结合讲解，00:13:18—00:13:42 通过文件窗口登录后，新建文件夹因只读权限而失败，说明“登录成功”和“允许写入”确实被分开演示；00:17:42—00:18:10 的现场命令行连接失败，讲师说明该隔离环境没有与真实主机连通。这里应先检查网络路径，而不是直接把所有失败归为口令错误。

00:09:42—00:10:38 对端口用途的口头说明把控制和数据通道说反了：用户名、密码与命令通常走 TCP 21 控制连接，经典主动模式的数据连接常用服务器 TCP 20，被动模式另行协商数据端点。 复习以上一节的通道解释为准。FTP 目录列表与 Web 服务器意外公开目录内容，也要按协议、授权和业务用途分别评估，不能仅因能列目录就统一判为同一等级的漏洞。

00:16:00 虽然打开了防火墙设置，讲师在 00:16:19—00:16:30 也明确提醒服务器一般不要关闭防火墙。本实验采用限定来源的控制与数据通道规则；若只能登录而无法列目录，继续检查数据通道，不用整机关闭防火墙来代替定位问题。

十、Windows 日志：把操作变成可追溯的证据（1.7） ​

10.1 日志在哪里，能回答什么问题 ​

课件《Windows日志》第 3—5 页给出的主线是：确定主机，采集样本，分析事件，保存证据，形成处置闭环。初学时应先掌握事件查看器 eventvwr.msc，再使用命令筛选；筛选工具不能补回从未记录的事件。

前三类日志通常位于 %SystemRoot%\System32\winevt\Logs\ 下，对应 Application.evtx、System.evtx、Security.evtx。应保留原始 EVTX，截图只适合辅助说明。读取安全日志或导出日志通常需要相应权限。

审核策略、日志容量和保留方式要提前配置。 开启“审核对象访问”后，还需要给目标对象设置相应的 SACL，才能记录预期的文件访问；开启进程创建审核，并不等于事件里自动包含命令行。

10.2 事件 ID 必须与通道、提供者一起看 ​

下面是用于复习的常见事件，不代表它们一定存在于每台机器。除特别注明者外，提供者为 Microsoft-Windows-Security-Auditing，通道为 Security；是否产生取决于相应审核子类别、操作是否发生及日志是否保留。事件 ID 的官方索引可查 Microsoft 的监测事件表。

4688 中的命令行还需要单独启用“在进程创建事件中包括命令行”，且命令行可能包含敏感参数，采集与保存要限制访问。见 4688 官方说明。1102 的提供者与其他大多数安全审核事件不同，见 1102 官方说明。7045 的来源与含义可对照 Microsoft 的系统事件示例。

课件第 8 页把远程桌面事件放在一起介绍，实际检索时要区分：1149 常见于 TerminalServices-RemoteConnectionManager/Operational；21、24、25 常见于 TerminalServices-LocalSessionManager/Operational。认证成功、会话登录成功、断开、重连是不同环节，不能只看到“成功”便认定已经完成一次交互登录。

10.3 实验：重建一次自己的登录过程 ​

前提： 在隔离实验机上启用相关登录审核，使用自己的普通测试账号，记录实验开始时间与时区。只进行一次主动输错和一次正确登录，避免触发账号锁定。

在具有权限的 PowerShell 中查看近两小时事件：

$start = (Get-Date).AddHours(-2)
Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    Id = 4624, 4625
    StartTime = $start
} | Select-Object TimeCreated, Id, ProviderName, Message

预期： 能找到与操作时间接近的失败和成功事件，并解释账号、登录类型、来源与状态。一次登录可能关联多个事件，不能机械要求“一次点击只对应一条日志”。无匹配结果时先检查查询主机、时间范围、审计策略与日志覆盖情况。

如需保存证据，在实验机中先创建专用证据目录，再导出与计算哈希：

New-Item -ItemType Directory -Path 'C:\Lab\Evidence' -Force
wevtutil epl Security C:\Lab\Evidence\Security.evtx
Get-FileHash -Algorithm SHA256 -LiteralPath 'C:\Lab\Evidence\Security.evtx'

记录采集人、主机、采集时间、系统时区、文件名和哈希。单个异常事件只是线索；应把失败登录、后续成功、权限变化、进程启动和业务日志放进同一时间线，再判断是否存在未经允许的行为。

10.4 视频复核：先选调查主机，再采集和分析 ​

《Windows日志》在 00:04:00—00:12:00 通过网络位置板书反复强调：先决定查看哪些主机，再确定日志位置、采集样本、分析、记录关键证据，并形成上报与处置闭环。一个外部告警可能涉及入口服务器、身份认证节点与业务主机；不能只在手边的一台电脑上搜索事件 ID。

00:22:00—00:32:00 的实际演示依次打开 Application、Security、System、日志属性和事件详情。这提醒我们除了筛选结果，还要保留原始通道、提供者、主机、时间及日志保存设置。

00:42:00—00:50:00 进一步安装并使用 Log Parser/Log Parser Lizard，最后出现查询 IIS 日志的界面和结果。可先保存原始日志，再用工具筛选时间、地址、状态码和访问路径；工具产生的表格是分析视图，原始 EVTX 或 Web 日志仍应保留。

讲师在 00:28:12—00:30:31 特别检查实际日志路径、最大容量和满时处理方式。因此导出前要看属性，不能只按默认路径找文件；调查窗口也应围绕最初发现异常的时间向前后扩展。登录成功等安全事件往往不在“错误/警告”级别，不能只筛错误日志。

00:47:42—00:48:16 的字段讲解需要校正：标准 IIS W3C 日志的 s-ip 是服务器地址，c-ip 才是客户端地址，不应把 s 直接解释为 Source。先读取每个文件的 #Fields 再写查询，时区也要核对；字段与 W3C 时间说明见 Microsoft IIS 日志配置文档。

十一、任务计划与备份：验证自动执行和恢复能力（1.8） ​

11.1 备份类型与恢复目标 ​

《Windows任务计划与备份》第 4—16 页介绍备份、Windows Server Backup、wbadmin 和恢复操作，第 17—22 页介绍任务计划与实验。课件混用了多个 Windows Server 版本，界面名称和支持的备份目标需按实验系统核对，不应照搬成跨版本限制。

差异备份属于帮助区分概念的学习补充。若教材通过“档案位”解释传统文件备份：完整与增量通常清除档案位，差异不清除；不能把这个机制泛化到所有现代块级、去重或合成备份产品。

还要区分两个业务问题：RPO 是最多能接受丢失多久的数据；RTO 是发生中断后希望多久恢复业务。例如每天一次备份的系统，并不能仅凭“有备份”就宣称满足小时级的数据恢复需求。

虚拟机快照有利于实验回退，但通常依赖原始虚拟磁盘与同一存储，不能代替独立备份。数据副本要考虑异地或离线保存、访问控制与可恢复性；把备份一直挂在原主机可写的位置，仍可能遭到误删或恶意破坏。

11.2 实验：恢复一个测试文件 ​

前提： 仅在实验虚拟机中操作。准备独立的测试数据卷 D: 与专门的备份卷 E:，确认卷标、空间和数据用途，安装 Windows Server Backup 功能。不要让向导接管存有其他资料的磁盘。

1. 在 D:\LabData 新建测试文件，记录其内容及 SHA-256。
2. 使用备份工具选择数据卷，执行一次备份，并查看成功记录。课件中的对应命令形式为：

wbadmin start backup -backuptarget:E: -include:D:
wbadmin get versions -backupTarget:E:

3. 修改测试文件内容，保留原文件；在恢复向导中选择刚才的备份版本，把文件恢复到另一个测试目录。
4. 比较恢复文件与备份前的哈希、内容和权限，并记录耗时。

预期： 恢复文件与备份前版本一致，且当前文件未被覆盖。这里只验证了选定数据的恢复，不能据此宣称完成了整机、数据库或 AD 恢复演练。

排错： 找不到版本时检查备份目标和备份目录是否可见；恢复失败时检查空间、权限和备份任务日志；业务文件打开失败时，还要考虑应用一致性。课件中的历史版本标识符仅是例子，恢复时必须选择本机实际备份记录。

11.3 任务计划要检查的六个要素 ​

任务计划入口为 taskschd.msc。创建任务时逐项确认：触发器、运行身份、执行程序、参数、起始目录、运行条件。笔记中至少记录最后运行时间、最后运行结果与产物位置。

一个适合新手的任务是定时导出服务清单。先在实验机准备脚本与输出目录，脚本内容为：

Get-Service |
    Select-Object Status, Name, DisplayName |
    Export-Csv -LiteralPath 'C:\Lab\Reports\services.csv' `
        -NoTypeInformation -Encoding UTF8

把脚本保存为 C:\Lab\Scripts\inventory.ps1，设置任务运行 powershell.exe，参数为 -NoProfile -File C:\Lab\Scripts\inventory.ps1。先手动运行确认产物，再设置到几分钟后的时间验证触发。运行身份只需要读取服务和写报告的权限，不应默认选择最高权限。

任务显示“成功”后仍要打开 CSV，检查时间与内容。交互运行成功、定时运行失败，常见原因是运行账号不同、没有输出目录权限、依赖相对路径、未登录时凭据不可用或电源条件限制。脚本目录应避免被低权限用户修改，防止高权限任务执行被替换的内容。

11.4 视频复核：计划创建成功之后，还要验证产物与恢复 ​

《Windows任务计划与备份》在 00:10:00—00:16:00 打开 Windows Server Backup，演示选择备份配置和时间；00:20:00—00:24:00 打开任务计划，配置任务与触发器。向导设置完成，只能证明计划已创建，是否按正确身份运行、是否产生可用备份，还需要后续记录。

末尾 00:26:49 布置的具体作业是：在 Windows Server 2022 文件服务器上，每周二和周五晚上 23:00 单独备份 D 盘数据。可以用它替换随意选择的练习时间；先用临近的测试时间确认任务确实触发，再恢复目标日程，并记录备份版本。

最后继续完成本节的替代目录恢复实验，核对文件内容、权限和耗时。恢复验证是本笔记补充的验收环节，不能因为已经看过备份向导就省略。

讲师在 00:13:22—00:14:11 解释了为何把备份命令与任务计划结合：内置备份向导的日程选项可能不满足每周等安排；00:19:19—00:20:01 又用 wbadmin 的备份来源和目标说明脚本参数。00:14:33—00:15:03 明确提到现场没有搭建远程接收备份的磁盘，所以这里主要是配置过程，不能补写一条视频未显示的远程恢复成功记录。

00:20:28—00:21:25 将任务计划概括成可以用 SYSTEM 执行任意文件，容易使人误解。任务运行身份取决于配置和授权，创建/修改任务也受权限约束；仅有上传权限不会因为调用任务计划就自动获得 SYSTEM。排查可疑任务时核对运行身份、程序、参数、触发器与来源，按影响选择暂停或隔离，并先保存必要记录。

十二、Windows 域与 AD：集中管理身份、资源和策略（1.9） ​

12.1 先分清域、目录、域控制器 ​

《Windows域环境基础-1》第 4—13 页介绍基础概念，-2 介绍部署，-3 介绍对象和组策略，-4 介绍信任与排错。

域名相似不等于存在 AD 信任；信任也不等于已经授权访问文件。 信任帮助使用来自另一受信任域的身份，最终能否访问资源仍需检查相应权限。课件 -4 第 2 页将子域写得过宽，应理解为现有域 DNS 名称空间下的下级域；新增另一棵域树的根域不能笼统叫子域。

域常用于划分身份管理与域数据复制范围，林是更重要的 AD 安全隔离边界；同林的不同域不能视为抵御林内高权限管理员的严格安全隔离。可对照 Microsoft 对域与林边界的定义。域/林功能级别描述可用目录功能及兼容条件，不是成员计算机的系统版本。AD LDS 是面向应用的轻型目录服务，不等同于完整的域控制器。

12.2 实验：建立单域并加入客户端 ​

以下在前文隔离网络中进行：DC01 为 192.168.56.10/24，WEB01 为 .20，CLIENT01 为 .30，无默认网关，域名为 lab.example.test。需要支持角色安装的 Windows Server 和支持加入 AD 域的客户端版本。机器名称必须唯一。

1. 在 DC01 设置静态地址，安装 AD DS 角色；按服务器管理器的部署流程，将服务器提升为新林的域控制器，并配置 DNS。
2. 设置目录服务还原模式密码，记录实际域名与功能级别。课件中的 dcpromo 属于旧版本流程，应按当前实验系统的角色配置入口操作。
3. 重启后确认 AD DS、DNS 等服务正常，检查域的 DNS 区域与定位记录。若前面的独立 DNS 实验已创建同名标准区域，需确认它与域部署衔接正确，并按实际情况配置 AD 集成及更新权限，保留需要的 Web 记录。CLIENT01 与 WEB01 的 DNS 均应指向 192.168.56.10。
4. 在 CLIENT01 查询域控定位记录，再从系统设置中选择加入 lab.example.test，使用具有相应加入权限的域身份完成操作并重启。
5. 按同样方法将 WEB01 加入 lab.example.test 并重启。这是后续在该服务器上使用域安全组分配共享权限的前提。使用专门的普通域账号登录验证，在 DC 上核实 CLIENT01 与 WEB01 的计算机对象。

可用于客户端检查的命令：

ipconfig /all
nslookup -type=SRV _ldap._tcp.dc._msdcs.lab.example.test 192.168.56.10
whoami

预期： DNS 能返回用于定位 DC 的 SRV 记录，客户端确实成为域成员，使用域账号登录后 whoami 显示相应域身份。域的短名称可能与自行猜测不同，按实际配置核对。

排错顺序： 先确认虚拟网络、IP 与 DNS，再检查系统时间、账号权限、DNS/Netlogon 服务和事件日志。仅能解析域名 A 记录或 ping 通 DC，并不能证明完整的域加入条件成立。不要通过把公共 DNS 设为备用 DNS 来“解决”域解析问题，也不要把修改 hosts 当作加入域。

额外 DC 可以提供一定容错与分担服务，但不等于独立备份。部署第二台 DC 应检查 DNS、时间与复制状态；不能把运行中的 DC 当普通虚拟机随意克隆。降级前应核实 DNS、全局编录、操作主机角色与其他 DC 的状态。卸载最后一台 DC 会影响整个域，不作为本篇的常规练习。

12.3 用户、组与 OU：按职责管理权限 ​

《Windows域环境基础-3》第 3—10 页介绍域用户、组和 OU。账号可设置到期时间、允许登录范围和首次登录修改密码等属性；不能把日常办公账号一律放入域管理员组。

常见组类型是安全组与通讯组：前者用于授权，后者主要用于邮件分发。常见作用域包括全局组、域本地组和通用组；学习时把“谁可以成为成员”和“这个组可在哪里用于授权”分开记忆。

使用课件 -4 第 7 页的 AGDLP 思路组织文件权限：

账号 Accounts
    ↓ 加入
全局安全组 Global groups：按岗位组织人
    ↓ 加入
域本地安全组 Domain Local groups：按资源与权限组织
    ↓ 获得
权限 Permissions：共享目录的读取或修改

例如测试用户加入 GG_Lab_Readers，该组加入 DL_LabShare_Read，再将共享与 NTFS 的读取权限授予后者。人员调岗时主要调整岗位组成员，资源授权不必逐人修改。OU 可分成“实验用户”和“实验工作站”，用于管理与策略；资源权限仍通过安全组表达。

12.4 GPO：先看对象与作用范围，再看优先级 ​

组策略对象 GPO 可链接到站点、域和 OU。计算机配置跟随计算机对象，用户配置跟随用户对象；把用户放进正确 OU，不代表同 OU 名称下的计算机配置就会对该用户生效。

通常按 LSDOU 处理：本地 → 站点 → 域 → 从父到子的 OU。同一容器有多个链接时，链接顺序数字 1 的优先级最高，通常最后处理。无冲突设置可共同生效；遇到冲突还要考虑强制链接、阻止继承、安全筛选、WMI 筛选和环回处理等条件。不能简单记成“下级永远覆盖上级”。参见 组策略处理官方说明。

实验： 在“实验用户”OU 创建并链接一个限制更改桌面背景的测试 GPO；把测试用户放入 OU，使用该用户重新登录 CLIENT01，然后检查策略结果。

gpupdate /force
gpresult /r

预期： 目标用户应用了预期 GPO，其他测试用户不受影响。部分设置需要注销或重启才能完成，gpupdate 返回成功并不说明所有设置都已达到期望状态。

策略未生效时，先检查用户还是计算机设置、对象所在 OU、GPO 链接和筛选，再查看 gpresult 与事件日志。不要把“退域再加域”作为第一步。域用户的密码策略也不是通过任意 OU 的 GPO 自由分开设置，需要区分域账号策略与细粒度密码策略。

课件还介绍了 MSI 软件分发：先准备受控的软件共享位置，再按用户或计算机配置策略；分配与发布的强制程度、适用对象不同。客户端所用身份必须能读取安装包，不能为方便分发开放无关发现服务或扩大共享写权限。

12.5 视频复核：域部署、对象管理与故障定位的顺序 ​

四段域视频可按下面的时间点回看：

第一段 00:05:41—00:07:52 用书籍目录作类比，随后解释用户、计算机加入和属性变化会使目录持续更新；这个类比帮助理解“目录”，但不要把 OU 当成安全组。00:21:27—00:23:00 又把“单域”与“一个 DC”混在一起：一个域可以部署多个 DC，不能用 DC 数量判断域数或域树数。00:28:57—00:30:50 关于“旧 DC 不能管理新版本成员机”的说法也不能照抄。域/林功能级别约束的是 AD 能力及受支持的 DC 操作系统，并不规定入域工作站、成员服务器的操作系统上限。第二段 00:15:07—00:15:49 在 Server 2022 上看到最高功能级别为 2016，是产品的功能级别设计，与讲师所用 VMware 版本无关。Microsoft：AD DS 功能级别

第二段 00:03:09—00:05:52 实际演示了旧命令 dcpromo 在新系统上的提示，随后改用服务器管理器完成部署；这是讲师自己进行的版本对照。00:07:05—00:07:47 推荐先安装 DHCP、DNS、IIS、FTP，是为这套合并角色的课程实验做准备，不能据此认定四个角色都是 AD DS 前置条件。00:26:19—00:27:44 在提升后核查 IP/DNS，00:27:47—00:30:28 说明客户端曾加入过域、当前演示环境中的对象又有变化，才选择退域重入展示完整流程。跟练时保留这个上下文，排错先查 DNS、时间、账号和安全通道，避免一遇故障便退域。讲师 00:09:37—00:10:21 提及台账时还口头建议记录密码；自己的台账只记录设备、地址、位置、责任人等信息，口令另按受控方式保管。

第三段 00:04:08—00:07:13 逐项打开用户的登录时间、允许登录的计算机、账户到期属性；00:14:19—00:15:02 在 OU 中尝试创建用户时出现密码复杂性不满足的提示，并非每一步都一次成功。00:17:22—00:18:18 的作业是首次登录改密、创建多个 OU 并移动用户；00:45:43—00:47:42 又要求部门统一背景和限制命令提示符。验收时应分别登录目标、非目标用户并观察结果；禁止 cmd.exe 不能替代完整的应用控制。

第三段 00:30:45—00:36:18 多次用 NTFS 的“最严格、拒绝优先”解释 GPO 冲突，这个类比会误导判断。普通 GPO 冲突要按处理顺序、链接优先级及继承条件分析，还要检查强制链接、筛选等因素。第四段 00:19:53—00:20:20 所说的默认“五分钟更新一次”也不能套给所有客户端：常见客户端默认约 90 分钟加随机偏移；DC 的计算机策略默认检查间隔才是五分钟。软件安装还有启动/登录时机要求，不能把 gpupdate /force 无报错当作软件已经装好的证明。Microsoft：组策略处理与刷新

第三段 00:39:19—00:40:43 给计算机选择 MSI 时出现“当前不是共享数据包”的提示，随后对比计算机配置仅可分配、用户配置可发布或分配。视频展示了配置窗口，尚未给出客户端最终安装成功的验收。自己的良性软件包实验应使用可访问的 UNC 路径，并核对执行安装的计算机或用户身份具有读取权限。00:41:02—00:45:20 的后续演示围绕网络发现和相关服务；按实际故障核查共享可达性与授权，不把统一开启所有发现服务当作必需动作。

第四段 00:06:40—00:09:18 用“账户 → 全局组 → 域本地组 → 权限”说明 AGDLP，并在 00:07:47—00:08:19 明确补充：有信任关系仍需资源授权。单向/双向与可传递/不可传递是两组属性，不能简单画等号。00:12:25—00:16:04 再按“换账号、换客户端、查服务器、查网络”缩小范围，00:20:39—00:21:31 则在 GPMC 演示链接现有 GPO。不要只看编辑器里已有设置，还要确认链接及适用对象；域级链接本来可能向下继承，OU 没有直接链接并不必然表示没有策略生效。

十三、PKI 与 HTTPS：验证服务身份和保护传输（1.10） ​

13.1 公钥、私钥、证书各做什么 ​

《PKI技术与应用》第 4—11 页介绍 PKI，第 13—16 页介绍证书服务，第 19—21 页给出 Web 站点 HTTPS 实验。

课件用“私钥加密摘要”帮助解释签名，但这不是适用于所有签名算法的通用定义。更准确的记法是：签名者使用私钥执行签名算法，验证者使用对应公钥验证。不能把私钥签名理解为任何人都无法阅读的信息加密。

证书通常包含主体、颁发者、公钥、有效期、序列号、签名与扩展。对 HTTPS 而言，还应关注 **SAN（使用者可选名称）**中的 DNS 名称、服务器身份验证用途以及证书链。TLS 服务名称验证应使用 SAN 中对应的名称标识，不能只填写 CN 就假定客户端会认可；参见 RFC 9525 的名称验证规则。

HTTPS 是 HTTP 在 TLS 保护下传输。课件使用“SSL”这一传统称呼，学习时不要因此启用已经淘汰的 SSL 协议。HTTPS 保护传输，并不修复 SQL 注入、越权等应用漏洞，也不表示网站内容本身一定可信。

13.2 实验：为已有 IIS 站点配置 HTTPS ​

前提： WEB01 的 HTTP 服务已经能通过 http://web.lab.example.test:8080 访问，DNS 把该名称解析到 192.168.56.20。在隔离域中准备实验 CA；把 CA 与 DC 合并仅为节省实验资源，不能直接作为生产架构方案。

1. 在 WEB01 生成证书申请，明确请求的 DNS 名称为 web.lab.example.test，并在申请或模板中正确包含 SAN。
2. 由实验 CA 按选定模板审核并签发证书；将证书安装回生成对应私钥的服务器。
3. 在 IIS 为原站点添加 HTTPS 绑定，选择 TCP 443 和正确证书；多站点共享端口时根据需要配置主机名与 SNI。
4. 向实验客户端部署实验根 CA 信任，在 WEB01 的防火墙按实验客户端范围放行 HTTPS。
5. 使用 https://web.lab.example.test 访问，检查页面、证书名称、有效期与信任链。证书申请成功不等于服务器已完成 HTTPS 绑定。

预期： 客户端访问名称与 SAN 匹配，证书链受信任且处于有效期内，页面正常返回。仅能建立 TCP 连接，不能证明 TLS 认证已经成功：

Test-NetConnection web.lab.example.test -Port 443

排错： 名称错误时检查访问 URL 与 SAN；信任错误时检查根与中间证书；有效期错误时检查系统时间；无法握手时检查绑定、私钥可用性、协议兼容与防火墙。用 IP 访问仅含域名的证书也可能报名称不匹配，不应通过长期忽略警告来“解决”。

导出 .cer 等证书文件通常只包含公开证书；导出包含私钥的 .pfx 需要额外保护和访问控制。不能把私钥、PFX 密码或完整证书服务备份放进公开博客。

13.3 视频复核：请求文件、已签发证书与 HTTPS 结果是三件事 ​

《PKI技术与应用》在 00:26:00—00:30:00 配置证书服务；00:34:00 在 IIS 创建证书申请，文件被命名为 key.txt。这个名字并不表示它就是服务器私钥：判断文件用途要看生成操作和内容格式。00:36:00 打开证书服务 Web 申请页，00:38:00 在 IIS“完成证书申请”中选择下载得到的 certnew.cer，才进入把签发结果与原请求对应起来的环节。

00:40:00 切换到旧版 Windows 的 IE，通过 HTTPS 访问实验地址，画面显示“无法显示网页”。随后 00:42:00—00:46:00 又查看组策略、刷新策略及证书颁发机构控制台。这是实际出现的失败过程，不能把它整理成“证书申请后，所有客户端立刻无警告访问成功”。

遇到同类现象，应分别核查浏览器与 TLS 兼容、服务器绑定、匹配的私钥、网络路径，以及名称和证书链。旧浏览器显示的“找不到服务器或 DNS 错误”等通用文字，只是错误提示，不能单独确定故障根因。自己完成实验时，仍应补齐本节要求的 SAN、有效期、用途、信任链和实际页面验证。

音轨在 00:22:30—00:25:16 进一步区分企业 CA、独立 CA，以及根 CA、从属 CA。前一组描述部署和目录集成方式，后一组描述信任层次，不能把它们当成同一组互斥选项。企业 CA 的证书是否自动签发还受模板、权限和颁发要求约束；视频中的自动签发结果只对应当时环境。参见 Microsoft：CA 类型与证书层次。

理论部分的几个类比应按本节定义理解：00:01:45 的文件 MD5 比对不等于数字签名，摘要也不是可解密的密文；00:08:28—00:09:24 的混合使用思路不能简化为“对称算法天然不安全”；00:12:27—00:14:36 的签名用于验证，不能据此恢复原文。CA 签名所用摘要算法、公钥算法和密钥长度是不同配置项，应分别记录。

00:40:08—00:43:59 为排错尝试调整旧浏览器设置、导入证书并刷新 GPO。复现时核对真正需要分发的 CA 根证书，服务器签发证书则与自己的私钥对应并用于站点绑定；不能因文件扩展名为 .cer 就一律放进受信任根存储。域控本机执行 gpupdate 也不等于所有客户端已即时验证通过。使用具备所需 TLS 能力的客户端，再检查实际握手、证书链和页面结果，避免把降低协议要求或忽略警告当成长期解决办法。

十四、PowerShell：用对象完成可重复的管理（1.11） ​

14.1 命令与管道不是单纯的字符串拼接 ​

《PowerShell基础》第 6—10 页介绍脚本、执行策略与文件命令。PowerShell 使用 动词-名词 的命令风格，例如 Get-Service；管道通常传递对象，因此可以按属性筛选、排序和导出。

$PSVersionTable
Get-Help Get-Service
Get-Command '*Service*'
Get-Service | Get-Member
Get-Service |
    Where-Object { $_.Status -eq 'Running' } |
    Sort-Object Name |
    Select-Object Name, Status, DisplayName

Get-Member 帮助判断对象有哪些属性与方法。Format-Table、Format-List 适合最后展示；需要继续处理或导出时先保留原对象。Windows PowerShell 5.1 与 PowerShell 7 在可用模块、编码等方面存在差异，笔记应记录 $PSVersionTable 的实际结果。

14.2 执行策略不等于系统安全边界 ​

用以下命令查看各层设置与最终生效结果：

Get-ExecutionPolicy -List
Get-ExecutionPolicy

Restricted、AllSigned、RemoteSigned 等控制脚本执行条件；实际结果受作用域与组策略影响。下载来源标记和签名信任也会影响 RemoteSigned 的行为，不能只根据文件保存在哪个目录判断。

执行策略用于减少意外运行不受信任脚本的机会，不是安全边界。 课件的“绕过本地权限”表述容易误导：执行策略变化不会自动授予管理员权限，也不能代替 UAC、访问控制或应用控制。见 执行策略官方说明。

课件还出现“几乎不会触发杀毒软件”等说法，这类绝对判断不应作为实验结论。PowerShell 可以被审计、受策略约束并被安全工具检测。学习重点应放在可理解、可审查的管理脚本上，不复制来源不明的远程脚本直接执行。

14.3 修正随课命令表中的常见误读 ​

在自己的实验机上组合 ipconfig /all、route print、arp -a、nslookup 和 netstat -ano，分别回答“网络参数是什么、往哪里路由、邻居是谁、名字解析成什么、哪个端口在监听”。按问题选命令，比背一长串参数更有效。

14.4 视频复核：从实际版本与可解释命令开始 ​

《PowerShell基础》在 00:04:00 使用控制台查询网络和账户，00:08:00—00:10:00 打开 ISE 并运行 Get-Host，展示运行环境信息。跟练时先记录自己的 $PSVersionTable，再确认命令和模块是否存在，比直接复制一整屏参数更容易排错。

00:12:00—00:18:00 涉及执行策略和进程启动参数，00:20:00 列出文件/目录基本操作，00:22:00 简介后续框架工具。执行策略、窗口是否可见、运行身份和对象权限应分别理解；改变脚本启动条件不会自动获得管理员权限。

00:24:00—00:30:00 展示随课 Windows 命令表。学习时把每条命令改写成一个明确问题，例如“谁在监听”“这条连接属于哪个 PID”“当前使用什么身份”，并使用本节已经校正过的 ipconfig、ARP、nslookup 与 netstat 含义。屏幕出现的凭据相关参数和工具示例，不作为公开笔记中的真实口令或密钥记录。

音轨 00:08:18—00:10:23 实际演示了 ISE 的命令补全、脚本窗格和运行后回显，适合跟练一个自己能解释的查询脚本。(x86) 标识的是宿主进程的 32 位体系结构，64 位系统也可能运行它，应按模块和依赖选择；net user 查询账户，net use 查看或管理网络连接，不能因为读音接近混用。

00:12:06—00:16:53 集中解释启动参数，可整理为准确的阅读规则：-NoLogo 控制启动标志，-NoProfile 不加载配置脚本，-NonInteractive 限制交互提示，窗口样式则是另一项设置。这些参数不改变账户的资源权限；不加载 profile 不等于取消访问控制，非交互也不等于窗口必然隐藏。可对照 Windows PowerShell 启动参数说明。00:16:57—00:18:41 及 00:23:49—00:26:51 提到远程脚本与凭据相关的工具场景，学习时认识其行为和审计意义，不把下载、启动或能读取某种配置自动理解为提权、免检测或取得全部凭据。

十五、Windows 防火墙：明确允许谁访问什么（1.12） ​

15.1 规则由多个条件共同决定 ​

《Windows内置防火墙策略》第 3—6 页介绍 firewall.cpl、wf.msc、入站规则与丢弃日志。防火墙用于控制符合条件的网络流量，不能代替账号认证、文件权限、补丁或应用安全检查。

阅读一条规则时至少核对：入站/出站、允许/阻止、协议、本地端口、远程地址、程序或服务，以及 Domain/Private/Public 配置文件。域成员不一定所有接口都使用 Domain 配置文件，应查看实际识别结果。

Get-NetConnectionProfile
Get-NetFirewallProfile |
    Select-Object Name, Enabled, DefaultInboundAction, DefaultOutboundAction
Get-NetTCPConnection -State Listen

在同一台主机上，显式阻止规则通常优先于冲突的允许规则，不按列表“从上到下第一条命中”理解。具体合并与优先级见 Microsoft 防火墙规则说明。

15.2 实验：限制客户端访问测试 Web 服务 ​

前提： WEB01 的 TCP 8080 确实在监听，CLIENT01 恢复静态地址 192.168.56.30，先在虚拟机控制台操作以保留恢复入口。

1. 在 wf.msc 检查已有 8080 或 Web 程序的允许/阻止规则，避免宽泛的既有规则掩盖实验效果。
2. 创建名为 Lab-Web-8080-Client01 的入站允许规则：TCP、本地端口 8080、远程地址仅 .30，选择与当前网络匹配的配置文件。
3. 在 CLIENT01 验证网页正常访问；在另一台实验客户端验证不应被允许访问。如果没有第二台客户端，记录限制：当前只验证了允许路径，尚未验证拒绝路径。
4. 开启当前配置文件的丢弃数据包日志，记录实际日志路径和相关条目；实验结束后恢复所改的测试规则。

预期： 只有符合来源范围与配置文件的连接通过；业务页面仍正常。若仍然可从其他来源访问，检查是否还有其他宽泛允许规则；若全部访问失败，检查监听地址、端口、配置文件、来源地址及阻止规则。

不要以关闭整个防火墙来完成排错。按“服务是否监听 → 本机访问 → 同网段连接 → 规则匹配 → 日志”的顺序检查，才能判断问题发生在哪一层。限制实验用 HTTP 端口的规则也不能直接当成域控的通用规则，AD 所需通信需要结合角色另行规划。

15.3 视频复核：端口规则、配置文件与丢弃日志 ​

《Windows内置防火墙策略》在 00:12:00—00:16:00 从 firewall.cpl 进入高级安全界面，新建入站端口规则；00:18:00 设置 TCP 与本地端口，00:20:00 选择 Domain、Private、Public 配置文件。对照这几步时，要分清端口条件和规则生效的网络类型，不能只记一个规则名称。

00:22:00—00:24:00 则打开当前配置文件属性，通过日志“自定义”启用“记录丢弃的数据包”。完成后还需确认实际路径、日志容量及能否观察到预期的拒绝行为。

视频画面中的端口规则没有展示完整的双来源验收。本节限定 .30 来源并比较允许/拒绝路径，是在此基础上设计的练习：既有宽泛规则可能影响结果，因此必须把规则条件与实际连接结果对应起来。

00:09:45—00:11:43 的口头重点是部署位置和策略调优：设备或组件存在并不证明策略适合业务。00:12:13—00:12:38 又举出在主机上限制传播的场景，这恰好说明主机防火墙与边界设备可以共同作用，不能概括成有了硬件设备就不需要主机规则。

前半段把防火墙反复概括为只防外向内，应补齐条件：Windows 防火墙也有出站规则，实际控制能力取决于流量是否经过它以及具体策略。00:16:20—00:16:49 的 TCP/UDP 介绍属于简化，传输协议选择本身不能代替应用身份认证和加密。00:18:00—00:21:23 的课堂示例是端口阻止规则，本节前面的 Web 来源限制是另行设计的允许规则；两者目的不同。限制相关端口有助于减少暴露面，但不代替补丁或完整的勒索防护，也不能不顾 SMB、域或文件业务而统一关闭所需通信。

十六、Windows 主机应急：沿着现象关联身份、进程和证据（1.13） ​

16.1 先问清现场，再决定排查入口 ​

本节依据《安全行业天花板职位-应急.mp4》的完整音轨转写和对应演示画面整理。视频采用思维导图形式，讲师在 00:00:15 解释没有另做 PPT，而是把它作为工作参考手册；00:01:11 提到 FTP 登录攻击、蠕虫、勒索、ARP 欺骗和挖矿等案例，但明确让学员课后阅读，视频没有逐个完整复现这些案件。

00:03:49—00:06:40 的重点是现场沟通。先询问发现问题的人：什么时候发现、看到了什么、哪些业务受影响、已经做过哪些操作、有没有备份。讲师还提醒现场会接触到客户资料，采集与拷贝须落在约定范围内。可以把沟通结果写成一页初始记录，持续向负责人汇报已确认事实、当前假设和下一步检查目的。

00:13:00—00:14:17 是整节课最值得记住的说明：脑图中的项目没有固定执行顺序。 如果已经知道网站在某个时刻被篡改，应优先围绕相应 Web 服务或中间件日志和文件变更调查，在该时点前后扩大一个适当的时间窗口。没有明确入口时，再用检查表逐项收集线索。不能因为脑图第一项是账户，就要求每次都从账户查起。

16.2 十类检查如何互相连接 ​

排查账户时会转去看日志，排查进程时会继续定位服务或文件，文件变化又会反向帮助缩小日志时间窗口。这种相互印证，比把十项各自抄成孤立命令更接近视频强调的工作方法。

16.3 只读查询要能回答具体问题 ​

下面的命令用于自己的隔离实验机。它们是整理后的查询示例，PID 和目录要按实际记录替换，没有在当前宿主机执行排查。

# 当前身份、登录会话、监听与连接
whoami /all
query user
netstat -ano

# 假设从连接记录得到某个 PID，再查相应进程
tasklist /fi "PID eq 1234"
Get-CimInstance Win32_Process -Filter 'ProcessId = 1234' |
    Select-Object ProcessId, ParentProcessId, Name, ExecutablePath, CreationDate

# 服务与任务：先记录，再关联配置及业务用途
Get-CimInstance Win32_Service |
    Select-Object Name, State, StartMode, StartName, PathName
Get-ScheduledTask |
    Select-Object TaskPath, TaskName, State

# 系统信息及 hosts 现状
systeminfo
Get-Content -LiteralPath "$env:SystemRoot\System32\drivers\etc\hosts"

tasklist 查到进程后，还要核对父进程和运行身份；进程所有者、创建者与父进程不能简单混成同一个概念。任务计划列表中的 State 也不足以说明执行内容，需要继续查看任务属性、动作、主体和历史。采集时记录机器、时间、时区、来源和查询条件，避免之后只剩一张没有上下文的截图。

16.4 对课堂简化说法补齐条件 ​

视频中的演示帮助认识入口，部分口头经验需要带着条件理解：

• 账户与服务只是线索。 入侵不一定创建新账户，服务描述也可以被修改；没有陌生账户或自动服务，不能据此排除事件。
• 任务计划不必然以 SYSTEM 运行。 应查看实际任务主体；创建任务本身不会自动让低权限账户获得更高权限。
• 端口号不决定恶意程度。 应结合监听程序、连接方向和业务用途判断，外联多也可能是正常服务行为。
• hosts 中的差异需要解释。 同一服务可能使用 CDN 或不同节点，单次解析得到的地址不一致不能直接判为篡改；127.0.0.1 等本地映射也可能来自合法屏蔽或测试配置。应结合已批准配置、变更和可信解析结果核对。
• 情报未命中不表示安全。 新出现的恶意地址可能尚未被记录；命中标签也要核查时间和上下文。视频中的历史示例不作为当前恶意指标。
• 先考虑证据与业务影响，再做清理。 视频有立即删除账户、终止进程等口头做法。现场应根据持续损害决定隔离与止损，保留必要证据并记录操作；不把大范围删除、修改注册表或重启当成默认第一步。

讲师在结尾再次强调，学习的是能反复使用的思路和手册，并衔接下一节检查报告交付。可把自己的练习结果整理成“现象 → 假设 → 查询 → 证据 → 判断 → 处置与验证”的记录；没有观察或验证过的部分，保留为待确认项。

十七、阶段项目与交付：让发现能够整改和复核（1.14） ​

17.1 从课内样例提炼报告结构 ​

本节参考模块中的主机检查报告与现场检查表，提炼其组织方法；不复制样例单位、人员、真实地址和联系方式。

现场检查表还包括责任分工、制度、资产、监测、应急、培训、外包、边界、备份与漏洞修复等内容。这说明技术扫描只是检查的一部分；制度文件也应结合实际落实记录验证，不能仅凭“有文档”就判定有效。

17.2 一个可复核的问题应包含什么 ​

以下为自拟报告条目示例，未实际在当前环境执行或发现：

扫描项不符合、已验证漏洞和已发生入侵是不同结论。 风险定级需要解释可达性、利用条件、资产重要性和已有防护，不能只照搬工具颜色。

课内历史报告中的统一数值与高危标签，不应直接作为所有 Windows 主机的基线。例如“关闭 Web 服务”适用于不需要该服务的主机，不能直接用于承担 Web 角色的服务器；密码、日志容量、共享与远程管理设置也要结合角色和确认的基线评估。

交付前核对封面日期、实施日期、对象名称、资产数量、问题总数与分级小计是否一致。样例中存在需要审校的日期、对象与措辞不一致之处，复习时应学习结构并识别问题，不沿用模板残留。

17.3 视频复核：从工具结果写到可整改的报告 ​

《22-Windows相关项目交付》在 00:02:00 展示项目任务分解表，00:04:00 运行主机检查工具；00:12:00—00:18:00 再查看现场检查表。交付包含对象、人员职责、材料与现场记录，工具评分只是其中一部分。

00:24:00 的报告插入检查工具截图，00:26:00—00:30:00 编辑“检查内容—安全现状—安全风险—检查结果—整改建议”表格，最后 00:35:45 又打开本地安全策略核对配置。这个来回核对的过程说明：截图和文字必须指向同一个对象、同一项配置及同一适用要求。

课内历史样例包括旧系统加固文档和固定口令数值。写自己的报告时，保留字段结构与核查方法，并按真实系统角色和已经确认的基线填写；对每条建议再补负责人、变更影响和复测结果，不复制样例单位、人员及模板残留。

音轨 00:06:18—00:07:04 再次强调检查与加固的工作边界，并特别提出加固前的回退安排；00:22:32—00:23:45 则是为了教学把配置调整、重新检查和整改前后截图放在一起演示。跟练时要写清当前是在核查现状，还是实施已经确认的变更。

00:26:04—00:28:39 直接点评报告中的“安全风险”字段：应说明不整改会产生什么影响，而不只是重复“不符合”。可以用“现状、触发条件、受影响资产、已有措施、证据”支持判断，风险描述保持与事实相称。00:29:21—00:30:22 又区分领导阅读的报告和技术整改方案，适合采用简要结论加实施附件，分别服务决策和落地修复。

00:32:03—00:33:02 还明确说明后附综合视频是纯操作录屏、等待过程有剪辑，与第十八节实际检测到无音轨一致。学习者应结合画面中的环境状态辨认操作分支，不能将剪辑后相邻出现的画面直接当作完整、连续且一次成功的实验过程。

十八、综合录屏：区分已安装、已配置与已验证（1.15） ​

18.1 这段录屏实际展示了什么 ​

《操作过程1.mp4》长约 1 小时 20 分钟，文件没有音轨，本节依据实际操作画面整理。已按两分钟间隔检查首尾及过程画面，并对关键窗口放大核对；下列时间用于回看定位，不把抽样间隔内未显示的动作补写为事实。

01:02 附近显示的服务器角色列表与前段不同，抽样画面不足以确认中间是否恢复了快照或切换环境。因此应把后段作为另一个部署分支记录，不强行假定整段始终是同一个未改变的状态。

18.2 审核和权限是这段视频最容易看混的地方 ​

00:26 的窗口包含 Everyone、完全控制和“此文件夹、子文件夹及文件”等字段，但所在选项卡是审核。它描述哪些访问尝试需要被记录，属于 SACL；文件能否被读取、修改或删除，则还要检查 DACL 等访问控制。截图中出现“完全控制”四个字，不能直接推断所有人都获得了文件控制权。

复现时同时检查三件事：访问主体拥有什么实际权限、对象设置了哪些审核条目、系统相应审核策略是否开启。再使用专用测试账户完成一次允许操作或拒绝操作，核对事件是否包含预期对象和访问行为。大范围审核会增加日志量，应按目标选取需要记录的主体与操作。

18.3 对照本笔记复现时怎样换算参数 ​

视频的 HTTP 示例使用私网 10.0.0.1:8081；本笔记前文采用 192.168.56.20:8080 和 web.lab.example.test 作为自己的统一实验参数。复现时整体使用一套规划，分别记录服务器地址、客户端地址、DNS、站点绑定与防火墙规则，避免把两套参数混用。

一个合理的复现顺序是：准备虚拟机和恢复点 → 配置网络 → 安装角色 → 配置身份、目录与审计 → 创建 IIS 站点 → 先本机再客户端验证 → 单独验证 FTP、DNS、DHCP 和共享 → 保存自己的阶段快照 → 在明确的部署分支练习 AD DS 与客户端入域。视频中的安装等待、拼写错误和蓝屏都应当帮助理解验证与记录的重要性，不需要人为制造同样故障。

18.4 自拟扩展验收任务 ​

原来依据整阶段知识设计的综合任务仍可作为扩展练习。以下项目没有在这段静音录屏中得到完整验收，应在自己的环境逐项完成并留下结果：

• 用两个普通账户验证共享与 NTFS 的允许和拒绝路径。
• 确认 DHCP 客户端取得预定地址、DNS 与租约信息；结束后恢复后续实验使用的静态地址。
• 完成 FTP 的目录列表、下载与上传权限验证，核对数据连接和日志。
• 为站点配置 HTTPS，验证 SAN、信任链、有效期和业务页面。
• 用 gpresult 检查测试 OU 的 GPO 范围。
• 让防火墙允许指定客户端，并从另一来源检查拒绝路径。
• 运行一个低权限计划任务，检查真实产物；完成测试数据备份与恢复核对。
• 提交环境说明、问题证据、整改记录、复测结果与未验证事项。

保存原始日志、筛选条件、带时区的时间线和必要截图。某项没有实际完成时，明确写“未验证”及原因，不将期望结果填成验收结论。

十九、阶段复习题与参考答案 ​

先遮住答案，尝试用自己的实验环境解释。能说出“如何验证”，才算从记忆走向掌握。

二十、资料索引与使用说明 ​

本篇结合全部 33 段视频、PPT/PDF、已有 Markdown/TXT 及报告样例整理。页码均指 PDF 文件中的实际页序，不采用课件页脚中可能残留的旧页码。视频讲解、画面确认的演示结果与自拟复现实验分别记录；具体时间见相应章节和下一节的视频索引。

下面的路径以 0x01 Windows内网服务模块（初探门径）/ 为起点，供在本地文件夹定位；这些文字不是博客附件链接，发布时如需附课件，应先确认材料许可并按站点附件规则处理。

二十一、逐视频覆盖索引 ​

下表列出本阶段全部 33 段视频。32 段有声音轨已完整转写并阅读全文，静音综合录屏依据操作画面整理；各章保留实际回看锚点。视觉核对采用首尾与约两分钟间隔抽帧，关键配置另看放大帧，没有将抽样表述为逐帧连续观看。

视频路径相对于 0x01 Windows内网服务模块（初探门径）/。本地机器转写、时间段与核对记录保存在课程根目录的 .video-work/，供复查；它们没有作为博客附件上传。