SecureCRT快速命令集

服务器分布资源较多，日志目录较深时，查看每台服务器日志是一件很繁琐的事情，殊不知，CRT也有类似于xshell的快速命令集，用法如下

1在CRT安装目录新增VBS目录，如D:\Program Files\SecureCRT\VBS;
2确定自己要查看的日志，如tail -f /opt/demo/demolog;
3编写demovbs脚本到VBS目录，如：

1登陆要使用快速命令的服务器;
2CRT-选项-会话选项-连接-登陆动作-登陆脚本，选择自己编写好的D:\Program Files\SecureCRT\VBS\demovbs;
3使用CRT重新连接服务器，命令行就会自动执行vbs内的脚本，一键实时打印日志;

有些服务器没有外网映射，需要用其他有外网映射的服务器，ssh登录到要查询的服务器，需要执行多条命令，才能查看到服务器日志，命令之间需要时间间隔(ms)，如：

一、DIR命令的格式：dir[D:][PATH][NAME][[/A][:attrib]][/o:[sorted][/s][/b][/l][/c[h](1)dir/a:attrib缺省包含所有文件(系统文件隐含文件)attrib[:][h/-h]只显示隐含文件或非隐含文件[r/-r]只显示只读文件或非只读文件[s/-s]只显示系统文件或非系统文件[a/-a]只显示要归档文件或非归档文件(2)/o[:]sorted:缺省完全按字母顺序,子目录显示在文件之前/o[n/-n]:按字母顺序或按文件名顺序/反向显示[e/-e]:按扩展名字母顺序/反向显示[d/-d]:按时间顺序/反向显示[s/-s]:按大小从大到小或/反向显示[g/-g]:按子目录先于文件或文件先于子目录(3)/s参数:对当前目录及其子目录中所有文件进行列表列名:dir/s/a/o:nc:\>PRN将c盘上的所有子目录和文件按隶属关系并根据子目录和文件字母顺序打印输出(4)/B参数:将只显示文件名与扩展名(5)/L参数:将全部用小写字母对文件或子目录进行列表训练:dir/a列当前目录所有文件(含隐含及系统文件)dir/ah列隐含文件(包含子目录(隐含的)dir/a-hdir/as列系统文件dir/a-sdir/ad列子目录dir/a-ddir/o按字母顺序dir/B只显示文件名与扩展名二、attrib[+r|-r][+a|-a][+s|-s][+h|-h][d:][name][/s]缺省attribname显示文件的(文件)属性attribiosys(或子目录)shrc:\iosys指定为系统(s)隐含(h)只读(r)文件也可以attribsys显示扩展名为sys的文件属性参数[+r|-r]将文件属性设置或解除只读属性[+a|-a]将文件属性设置或解除归档属性[+h|-h]将文件属性设置或解除隐含属性(尤其对子目录也起作用)/s参数将当前及当前子目录下的所有文件均起作用可以用来查找文件例子:attribnews86列news86的文档属性attrib+rreporttxt设置为只读attrib-s-hrecordtxtattrib+aa:attrib-aa:bakxcopya:b:/a将A盘上的所有标志为"归档"属性的文件拷到B盘xcopya:b:/m将A盘上的所有文件拷到B盘后并移去归档属性三、cd介绍:cd返回上二级目录""代表当前目录""代表父目录cd\返回到上级目录的父目录(祖目录)cdA:\将A盘的当前目录改为根目录cdA:\xx将A盘的当前目录改为子目录xx下cd\98先返回父目录,再进入父目录下的98子目录cd返回到父目录cd\98进入根目录下的98子目录四、copy[/y][/-y][/v][/B]copy/y不加提示,对所有文件加以覆盖/-y加以提示,对所有文件(yes或no提问)/v拷贝以后加以校验/B按二进制进行显示copyw1wpscon/b可以将wps文件在屏幕上显示,而不必进入wps状态copy\98将父目录下的98子目录下的所有文件全拷到当前子目录copy\97当当前目录下的97子目录下文件全部拷到当前目录copyc:\将当前目录下的所有文件拷到c盘根目录意味着文件copynulaabc将aabc文件清空(文件长度改为0)copy文件名+con向文本文件中追加命令或内容copycon文件名创建文本文件(F6存盘退出)copyconprn检测打印机的开关五、xcopy命令xcopy[source][d:date][/p][/s][/e][/v][/y]xcopy[d:date]xcopya:b:\/d:08/18/98/s/v拷贝980818年后的文件xcopy[/p]提示创建子目录xcopy[/s]连带子目录一起拷贝注意:若目标盘上不存在此子目录,而在目标盘的结束符又不以"\"为结束,则将提示:doesdestinationspecifyafilenameordirectorynameonthetarget[f=file,d=directory]在目标盘上创建文件[按下]还是创建子目录[按下d]应选择d键xcopy[/v]带较验:(1)xcopy不拷贝系统和隐含文件,应先予以修改属性再拷贝xcopy[/y]覆盖时是否有提示,/y不带提示若省略目标盘或子目录名,则拷贝到当前目录下六、del/p加/p可以在删除前是否提示如del后加子目录名,则将子目录下所有文件(隐含系统只读文件除外)全删除,加/p则可以确认七、undelete[name]/au不加提示地将所有满足条件的文件恢复(能够恢复的),并将首字母置成"#",若已存在,则按"#%&012-9a-z"顺序加上如:undeletedbf/au将扩展名为"dbf"的文件全恢复,并以"#"开头,作为文件名,/list仅列出可恢复的文件,而不恢复undelete/load将undelete装入内存/unload将undelete卸出内存/s[drive]对指定驱动器进行监测管理undelete/sc将undelete驻留内存,并创建一个隐含的sentry子目录对c盘删除的文件进行管理undelete/ds恢复相应恢复命令可以用undelete即可完整恢复出文件名(非常完整)最常用undeletedeltree/y[drive:path]deltree删除子目录及文件,尽管有些文件是系统文件或隐含文件它可以带有通配符,带有通配符时,它将删除符合条件的文件及子目录如:undeletedbf/au将扩展名为"dbf"的文件全恢复,并以"#"开头作为文件名/list仅列出可恢复的文件,而不作恢复 *** 作undelete/load将undelete装入内存/unload将undelete卸出内存/s[drive]对指定的驱动器进行监视管理undelete/sc将undelete驻留内存,并创建一个隐含的sentry子目录对C盘删除的文件进行管理相应恢复命令可以用undelete/ds即可完整恢复出文件名(很完善)最常用的是undelete八、deltree/y[drive:path]deltree删除子目录及文件,尽管有些文件是系统或隐含的它可以带有通配符,这时它将删除符合条件的文件或子目录如:存在L1文件,L2子目录,L3文件,L4子目录deltreeL将删除以上所有的文件和子目录,但在删除前加以确认,若不删除,可以输入"N"/y参数是在删除时不加以确认就进行 *** 作的它删除的文件可以用undelete恢复,但不能恢复子目录及其下的文件,可以用特殊工具如NORTON80等若提前使用了undelete/s,则可以在sentry子目录下找到完整的文件,但名已经改变了九、dos=high[|low[umb|noumb]]dos=high,umb则dos将自身装入高端内存(high)并能管理上位内存(umb)noumb则不管理上位内存在写入dos=high及umb前应装入device=himemsys为了将程序或驱动程序装入上位内存,必须使用dos=umb,可省出大部分常规内存可以在configsys的任何位置写上dos=high,umb若显示hmanotavoiable或loaddownlow则表明不能使用高端内存十、doskey记录以前敲过的dos命令,可以用F7来显示,用"↑↓"来选择,用F9来输入选择的命令号doskey/restall重新装入一次,以前的命令行撤消doskey/history显示内存中所有的命令,可以">"显示到其它文件中,缩写"/H"doskeydir=cls则击入dir等同于cls一样doskey/macros可显示所有的宏定义,可使用">"重定义到文件中,可缩写"/M"doskeydir=可撤消对dir的宏定义doskeyp=dir$tdirexe/p$tdirc:\t$tdirc:\t$$t为命令的区分符,而$为命令的结束符doskey/insert(overstrike)在重新输入命令时,对旧命令的修改是插入还是覆盖状态(默认)十一、emm386exe提供对扩展内存的管理,使应用程序象使用常规内存一样能够使用它常见的用法是在configsys中device=c:\dos\himemsysdevice=c:\dos\emm386exeramd=64将DMA内存数量设置为64Knoems提供对上位内存的访问,但不提供对扩展内存的访问应注意的是在windows中最好不要用它,因为windows本身有对扩展内存进行管理的程序应采用windows中的管理器十二、fc命令fc/bdtdatdt2dat>b(作二进制代码比较)比较两个文件,一般用作存取进度,修改游戏存储文件用实际代码位置应加上0100如:000005E4:0067实际用debug-e修改时应加上0100即000006E4:0067后面加上重定向文件">P"可以将比较结果输出到p文件中十三、format/q/u/s/n:sectors/f:size/c/q参数:快速格式化,仅扫描文件分配表和根目录区,仅对格式化过的磁盘有效使用时应确保格式化过后没有增加新的坏道/u参数:无条件格式化,并且不保存原来盘上的信息,可以防止"unformat"/s参数:格式化为系统盘,也可以使用"sys"命令/f:sizesize可以为160180320360720120014402800/n:sectorn可以为1格式为单面盘,容量为160k180k可以为4可以在5寸高密驱动器上格式化360k磁盘可以为8可以在5寸高密驱动器上进行8个扇区的格式化/c重新测试坏扇区,缺省时如果一个扇区标记为"坏",以后格式时就不在从新测试,仅作标记,使用"/C"时可以从新测试十四、unformat命令对用format格式过,且未用"/u"参数的命令起作用,用它可以来重新修复已经损坏的硬盘分区表,但对网络盘不起作用unformatdrive:[/l][/test][/p]/l显示每一个被unformat发现的文件和子目录,如果没有这个开关,只显示那些破碎的文件和子目录,可以用ctrl+s暂停,按任意键继续/test仅作一个测试,不作实际的修复工作,作模拟过程/p一边测试一边打印注:这种方法不能保证修复所有的文件,尤其是格式化后又添加过数据的磁盘恢复后的文件依次存放在subdir123等子目录中十五、interlnk语法interlnkg=e,它可以通过串口或并口在两机间进行通讯将服务器端上的e驱动器映射为客户端的g驱动器,以后对客户端而言,所有对g的 *** 作都意味着对服务器的访问,取消映射的法为interlnkg=单独输入interlnk则显示所有的映射情况注意:interlnk必须在装入interlnkexe设备驱动程序才可以使用所用的驱动器符号与configsys中lastdrvexe设置的数目有关可以作一个一端为25针,另一端为9针的串行线实现,具体接线方式如下:5-72-153-23-137-44-126-65-103-36-118-515-24-2013-39针25针12-410-511-625-2525针25针十六、interlnkexe与intersvrexeinterlnkexe重新定向对于客户驱动器或打印接口的请求到另外的服务器驱动器或打印机语法:configsys中加入:device=c:\dos\interlnkexe[drive:n][/noprinter][com][lpt]十七、memmaker[/b][/batch][session][/swap:drive]使用memmaker能够优化内存配置,并将配置写入autoexecbat和configsys中在这一过程中,需要重新启动几次机器十八、memitemmemcolormemdefaultsubmenu菜单选项includeautoexecbat中如下:configsys中如下:pathc:\dos;c:\ucdos[menu]doskeymenucolor=15,1(前景色15,背景色1)\mouse\mousemenuitem=base_config,thisisabasegoto%config%->选择项menuitem=cced_config,thisisacced选项提示:base_configmenudefault=base_config,5gotoexit->跳出缺省为base_config,延迟时间5秒:cced_config[common]c:\dos\smartdrvexe/ldevice=c:\dos\himemsysgotoexit各项都包含的共同部分:exit->结束[base_config]device=c:\dos\emm386exeramdos=high,umb[cced_config]device=c:\dos\smartdrvexe/double_bufferinclude=base_config包含base_config设置可以根据计算机的在不同情况下的配置要求来选择十九、mscdexexe提供对光驱进行读写的程序mscdex/d:drive[/D:drive][/e][/k][/s][/l:letter]典型:configsys中device=c:\cdrom\cdromsys/d:mscd000autoexecbat中c:\dos\mscdex/d:mscd000/l:g配置了一个光驱,符号为g参数/d:drive1为光驱身份号,须与configsys中的符号一致,可有多个/d:mscd000/d:mscd001/e:使用扩展内存装入光驱驱动程序/s:使光驱在ms_net或windows是否设置为共享光驱/V是否在加载时显示内存/L:letter分配给光驱的盘符/m:number指定缓冲器的数目应该注意的是:如果用smartdrvexe加速对光驱的读写能力,应该在autoexecbat中将mscdexexe写在smartdrvexe之前,smartdrvexe的使用可大幅提高对驱动器的读写能力二十、msd的使用使用msd可以整体检查计算机配置及系统信息包括:驱动器参数,计算机cpu参数,内存大小参数,显示器类型,串并口情况,以及各个IRQ占用情况,据此可以分析新增设备是否与原来设备有冲突同时也可以通过分析内存驻留程序,判断内存中是否有病毒,有则标为""二十一、promptdos提示符$q等于号$t当前时间$d当前日期$p当前驱动器符号$$$号提示$n当前驱动器$g大于号$l小于号$b显示"|"管道号$h隐去提示符$E显示">p可以将dirbat例出的文件名输出到p文件中time>pbatp文件中仅存在一个回车符,则可以将时间追加进pbat文件中">>>"是将命令产生的输出重新定向,比如到文件或打印机中>>产生的内容将追加进文件中,>则将原文件内容覆盖"pp完成p文件到pp的复制typep|more可在屏满时暂停显示二十六、move命令move[y/-y]filename1filename2将文件1移动到文件2处如:movec:\dos\c:\cced将dos子目录下的所有文件全部移动到cced子目录下/y|-y参数在目标目录不存在需要创建时,是否出现提示可以使用该命令修改子目录名称,如movedoscced将dos目录名改为cced二十七、append指定一些特殊数据文件的存放位置,如userdatpe2pro等一些非execombat文件格式:append[:]终止以前存在的指定目录append显示指定情况append[path]appendc:\user等二十八、call在一个批处理命令中调用另外一个批处理文件(1)不终止现有文件的运行,执行完掉用程序后立即返回(2)被调用批处理命令必须以bat为扩展名(3)调用批处理文件时,可以加上参数(%1-%9)以及环境变量如%baud%(4)不能使用管道工具及重定向工具二十九、devicedevicehighloadhighdevice将指定的设备驱动程序装入内存中devicehigh将指定的设备驱动程序装入高端内存中loadhigh将指定的设备驱动程序装入高端内存中三十、defrag优化磁盘legend(传奇)optimize(优化)elapse(逝去)fragment(碎片)该命令执行对指定的盘进行优化处理(包括检查文件分配表,各文件状态,纠正错误),在执行时,可按照文件名大小,时间,扩展名对文件进行排序

在入侵过程中，远程主机的Windows系统会对入侵者的登录、注销、连接，甚至复制文件等 *** 作都进行记录，并把这些记录保存到日志文件中。在这些日志文件中，记录着入侵者登录所用的账号，以及入侵者的IP地址等信息。入侵者可以通过多种途径来擦除入侵留下的痕迹，其中手段之一就是用服务器日志进行手动清除。

具体的 *** 作步骤如下。

步骤1：先使用管理员账号与远程主机建立IPC$连接，在远程主机的控制面板窗口中双击管理工具图标，即可打开管理工具窗口。双击计算机管理图标项，即可打开计算机管理窗口。

步骤2：在其右边列表中展开计算机管理（本地）→系统工具→事件查看器选项，即可打开事件日志窗格，如图8-35所示。其中的事件日志分为 "应用程序"日志、"安全性"日志及"系统"日志3种，这3种日志分别记录了不同种类的事件。

步骤3：用鼠标右键单击要删除的日志文件，在d出的快捷菜单中选择清除命令，即可清除选中的日志。如果想彻底删除日志文件，则可以在计算机管理窗口的左窗格中展开计算机管理（本地）→服务和应用程序→服务选项，再在其右窗格中用鼠标右健单击Event Log服务，在d出的快捷菜单中选择属性命令，在打开的属性对话框中把该服务禁用，如图8-36所示。

（大图）图8-35 计算机管理窗口中的事件记录窗格

（大图）图8-36  禁用"Event Log"服务

此后，用户只要重新启动系统，该主机/服务器就不会对任何 *** 作进行日志记录了。

---