使用瑞士军刀 netcat 通过网络将数据传送到取证人员的机器上
在取证人员电脑上输入nc -l -p 55555 >> evidence.txt命令，使机器处于监听状态
将“命令”处替换为一些命令来收集易失性数据
系统日期和时间：<br>date /t<br>time /t
在被入侵的机器上输入以下形式的命令即可将数据传送给取证人员已经开启了监听模式的机器上：<br>nc 取证人员机器IP 端口 -e 命令<br>或<br>命令 | nc 取证人员机器IP 端口<br>如：<br>nc 192.168.10.10 55555 -e ipconfig<br>或<br>ipconfig | nc 192.168.10.10 55555<br>即可将 ipconfig 命令的结果传送到取证人员已经开启了监听模式的机器上（假设该机器的 IP 地址为 192.168.10.10）<br>————————————————<br>版权声明：本文为CSDN博主「YT--98」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。<br>原文链接：https://blog.csdn.net/weixin_43915762/article/details/89484245
系统 IP 地址信息<br>ipconfig /all
记录系统的环境变量<br>set
查看本地连接和远程连接的所有用户<br>query user
查看当前有哪些用户登录到了系统<br>whoami
列出主机缓存中的 NetBIOS 名（如果攻击者发起了某台机器到受害者机器的任意 NetBIOS 连接，并且是最近 10 分钟连接的，那么可以通过以下命令看到该机器的 BIOS 名）<br>nbtstat -c
获取剪贴板内容
记录所有动态链接库的信息
查看机器上打开的 TCP 和 UDP 端口是由哪些程序开启的<br>① 先用 netstat -ano 查看开启的 TCP 和 UDP 端口的进程 PID 号<br>② 再用 tasklist | findstr "进程 PID号"<br>即可查看
所有正在运行的进程列表信息<br>tasklist<br><br>
查看被入侵机器上的监听程序和当前连接的网络信息<br>netstat -an
查看 arp 缓存表<br>arp -a
查看系统日志，包括：系统事件日志、应用程序日志、安全事件日志
