最後說說組策略。組策略是建立Windows安全環境的重要手段，尤其是在Windows域環境下。一個出色的系統管理員，應該能熟練地掌握並應用組策略。在窗口界面下訪問組策略用gpedit.msc，命令行下用secedit.exe。
先看secedit命令語法：
secedit /analyze
secedit /configure
secedit /export
secedit /validate
secedit /refreshpolicy
5個命令的功能分別是分析組策略、配置組策略、導出組策略、驗證模板語法和更新組策略。其中secedit /refreshpolicy 在XP/2003下被gpupdate代替。這些命令具體的語法自己在命令行下查看就知道了。
與訪問註冊表只需reg文件不同的是，訪問組策略除了要有個模板文件(還是inf)，還需要一個安全數據庫文件(sdb)。要修改組策略，必須先將模板導入安全數據庫，再通過應用安全數據庫來刷新組策略。來看個例子：
假設我要將密碼長度最小值設置爲6，並啓用"密碼必須符合複雜性要求"，那麼先寫這麼一個模板：
[version]
signature="$CHICAGO$"
[System Access]
MinimumPasswordLength = 6
PasswordComplexity = 1
保存爲gp.inf，然後導入：
secedit /configure /db gp.sdb /cfg gp.inf /quiet
這個命令執行完成後，將在當前目錄產生一個gp.sdb，它是"中間產品"，你可以刪除它。
/quiet參數表示"安靜模式"，不產生日誌。但根據我的試驗，在2000sp4下該參數似乎不起作用，XP下正常。日誌總是保存在%windir%\security\logs\scesrv.log。你也可以自己指定日誌以便隨後刪除它。比如：
secedit /configure /db gp.sdb /cfg gp.inf /log gp.log
del gp.*
另外，在導入模板前，還可以先分析語法是否正確：
secedit /validate gp.inf
那麼，如何知道具體的語法呢？當然到MSDN裏找啦。也有偷懶的辦法，因爲系統自帶了一些安全模板，在%windir%\security\templates目錄下。打開這些模板，基本上包含了常用的安全設置語法，一看就懂。
再舉個例子--關閉所有的"審覈策略"。（它所審覈的事件將記錄在事件查看器的"安全性"裏）。
echo版：
echo [version] >1.inf
echo signature="$CHICAGO$" >>1.inf
echo [Event Audit] >>1.inf
echo AuditSystemEvents=0 >>1.inf
echo AuditObjectAccess=0 >>1.inf
echo AuditPrivilegeUse=0 >>1.inf
echo AuditPolicyChange=0 >>1.inf
echo AuditAccountManage=0 >>1.inf
echo AuditProcessTracking=0 >>1.inf
echo AuditDSAccess=0 >>1.inf
echo AuditAccountLogon=0 >>1.inf
echo AuditLogonEvents=0 >>1.inf
secedit /configure /db 1.sdb /cfg 1.inf /log 1.log /quiet
del 1.*
也許有人會說：組策略不是保存在註冊表中嗎，爲什麼不直接修改註冊表？因爲不是所有的組策略都保存在註冊表中。比如"審覈策略"就不是。你可以用regsnap比較修改該策略前後註冊表的變化。我測試的結果是什麼都沒有改變。只有"管理模板"這一部分是完全基於註冊表的。而且，知道了具體位置，用哪個方法都不復雜。
比如，XP和2003的"本地策略"－》"安全選項"增加了一個"本地帳戶的共享和安全模式"策略。XP下默認的設置是"僅來賓"。這就是爲什麼用管理員帳號連接XP的ipc$仍然只有Guest權限的原因。可以通過導入reg文件修改它爲"經典"：
echo Windows Registry Editor Version 5.00 >1.reg
echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa] >>1.reg
echo "forceguest"=dword:00000000 >>1.reg
regedit /s 1.reg
del 1.reg
而相應的用inf，應該是：
echo [version] >1.inf
echo signature="$CHICAGO$" >>1.inf
echo [Registry Values] >>1.inf
echo MACHINE\System\CurrentControlSet\Control\Lsa\ForceGuest=4,0 >>1.inf
secedit /configure /db 1.sdb /cfg 1.inf /log 1.log
del 1.*
關於命令行下讀取組策略的問題。
系統默認的安全數據庫位於%windir%\security\database\secedit.sdb，將它導出至inf文件：
secedit /export /cfg gp.inf /log 1.log
沒有用/db參數指定數據庫就是採用默認的。然後查看gp.inf。
不過，這樣得到的只是組策略的一部分（即"Windows設置"）。而且，某個策略如果未配置，是不會被導出的。比如"重命名系統管理員帳戶"，只有被定義了纔會在inf文件中出現NewAdministratorName="xxx"。對於無法導出的其他的組策略只有通過訪問註冊表來獲得了。
此辦法在XP和2003下無效--可以導出但內容基本是空的。原因不明。根據官方的資料，XP和2003顯示組策略用RSoP（組策略結果集）。相應的命令行工具是gpresult。但是，它獲得的是在系統啓動時被附加（來自域）的組策略，單機測試結果還是"空"。所以，如果想知道某些組策略是否被設置，只有先寫一個inf，再用secedit /analyze，然後查看日誌了。
網絡配置
Windows自帶的關於網絡的命令行工具很多，比如大家熟悉的ping,tracert,ipconfig,telnet,ftp,tftp,netstat，還有不太熟悉的nbtstat,pathping,nslookup,finger,route,netsh......
這些命令又可分成三類：網絡檢測（如ping）、網絡連接（如telnet）和網絡配置（如netsh）。前面兩種相對簡單，本文只介紹兩個網絡配置工具。
netsh
在遠程shell中使用netsh首先要解決一個交互方式的問題。前面說過，很多shell不能再次重定向輸出輸出，所以不能在這種環境下交互地使用ftp等命令行工具。解決的辦法是，一般交互式的工具都允許使用腳本（或者叫應答文件）。比如ftp -s:filename。netsh也是這樣：netsh -f filename。
netsh命令的功能非常多，可以配置IAS、DHCP、RAS、WINS、NAT服務器，TCP/IP協議，IPX協議，路由等。我們不是管理員，一般沒必要了解這麼多，只需用netsh來了解目標主機的網絡配置信息。
1，TCP/IP配置
echo interface ip >s
echo show config >>s
netsh -f s
del s
由此你可以瞭解該主機有多個網卡和IP，是否是動態分配IP(DHCP)，內網IP是多少（如果有的話）。
這個命令和ipconfig /all差不多。
注意，以下命令需要目標主機啓動remoteaccess服務。如果它被禁用，請先通過導入註冊表解禁，然後
net start remoteaccess
2，ARP
echo interface ip >s
echo show ipnet >>s
netsh -f s
del s
這個比arp -a命令多一點信息。
3，TCP/UDP連接
echo interface ip >s
echo show tcpconn >>s
echo show udpconn >>s
netsh -f s
del s
這組命令和netstat -an一樣。
4，網卡信息
如果netsh命令都有其他命令可代替，那它還有什麼存在的必要呢？下面這個就找不到代替的了。
echo interface ip >s
echo show interface >>s
netsh -f s
del s
netsh的其他功能，比如修改IP，一般沒有必要使用（萬一改了IP後連不上，就"叫天不應叫地不靈"了），所以全部略過。
IPSec
首先需要指出的是，IPSec和TCP/IP篩選是不同的東西，大家不要混淆了。TCP/IP篩選的功能十分有限，遠不如IPSec靈活和強大。下面就說說如何在命令行下控制IPSec。
XP系統用ipseccmd，2000下用ipsecpol。遺憾的是，它們都不是系統自帶的。ipseccmd在xp系統安裝盤的SUPPORT\TOOLS\SUPPORT.CAB中，ipsecpol在2000 Resource Kit裏。而且，要使用ipsecpol還必須帶上另外兩個文件：ipsecutil.dll和text2pol.dll。三個文件一共119KB。
IPSec可以通過組策略來控制，但我找遍MSDN，也沒有找到相應的安全模板的語法。已經配置好的IPSec策略也不能被導出爲模板。所以，組策略這條路走不通。IPSec的設置保存在註冊表中(HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local)，理論上可以通過修改註冊表來配置IPSec。但很多信息以二進制形式存放，讀取和修改都很困難。相比之下，上傳命令行工具更方便。
關於ipsecpol和ipseccmd的資料，網上可以找到很多，因此本文就不細說了，只是列舉一些實用的例子。
在設置IPSec策略方面，ipseccmd命令的語法和ipsecpol幾乎完全一樣，所以只以ipsecpol爲例：
1，防禦rpc-dcom***
ipsecpol -p myfirewall -r rpc-dcom -f *+0:135:tcp *+0:135:udp *+0:137:udp *+0:138:udp *+0:139:tcp *+0:445:tcp *+0:445:udp -n BLOCK -w reg -x
這條命令關閉了本地主機的TCP135,139,445和udp135,137,138,445端口。
具體含義如下：
-p myfirewall 指定策略名爲myfirewall
-r rpc-dcom 指定規則名爲rpc-dcom
-f ...... 建立7個篩選器。*表示任何地址(源)；0表示本機地址(目標)；+表示鏡像(雙向)篩選。詳細語法見ipsecpol -?
-n BLOCK 指定篩選操作是"阻塞"。注意，BLOCK必須是大寫。
-w reg 將配置寫入註冊表，重啓後仍有效。
-x 立刻激活該策略。
2，防止被ping
ipsecpol -p myfirewall -r antiping -f *+0::icmp -n BLOCK -w reg -x
如果名爲myfirewall的策略已存在，則antiping規則將添加至其中。
注意，該規則同時也阻止了該主機ping別人。
3，對後門進行IP限制
假設你在某主機上安裝了DameWare Mini Remote Control。爲了保護它不被別人暴破密碼或溢出，應該限制對其服務端口6129的訪問。
ipsecpol -p myfw -r dwmrc_block_all -f *+0:6129:tcp -n BLOCK -w reg
ipsecpol -p myfw -r dwmrc_pass_me -f 123.45.67.89+0:6129:tcp -n PASS -w reg -x
這樣就只有123.45.67.89可以訪問該主機的6129端口了。
如果你是動態IP，應該根據IP分配的範圍設置規則。比如：
ipsecpol -p myfw -r dwmrc_block_all -f *+0:6129:tcp -n BLOCK -w reg
ipsecpol -p myfw -r dwmrc_pass_me -f 123.45.67.*+0:6129:tcp -n PASS -w reg -x
這樣就允許123.45.67.1至123.45.67.254的IP訪問6129端口。
在寫規則的時候，應該特別小心，不要把自己也阻塞了。如果你不確定某個規則的效果是否和預想的一樣，可以先用計劃任務"留下後路"。例如：
c:\>net start schedule
Task Scheduler 服務正在啓動 ..
Task Scheduler 服務已經啓動成功。
c:\>time /t
12:34
c:\>at 12:39 ipsecpol -p myfw -y -w reg
新加了一項作業，其作業 ID = 1
然後，你有5分鐘時間設置一個myfw策略並測試它。5分鐘後計劃任務將停止該策略。
如果測試結果不理想，就刪除該策略。
c:\>ipsecpol -p myfw -o -w reg
注意，刪除策略前必須先確保它已停止。不停止它的話，即使刪除也會在一段時間內繼續生效。持續時間取決於策略的刷新時間，默認是180分鐘。
如果測試通過，那麼就啓用它。
c:\>ipsecpol -p myfw -x -w reg
原文：http://bbs.isbase.net/thread-51185-1-3.html