Detekce spuštěného a připojeného Skypu je v LAN poměrně snadná. Skype otvírá port TCP 80, takže k odhalení stačí síťový sken stanice (např. pomocí nmap) a analýza spuštěných procesů.
Příklad:
proskenujeme port 80 na stanici 192.168.1.10
E:\>nmap 192.168.1.10 -p 80 | findstr /i "open"
80/tcp open http
port je otevřený, může zde běžet webový server (u stanice neobvyklé), SQL server, Skype, atd.
na skenované stanici si lokálně zobrazíme aktivní připojení s portem 80
C:\>netstat -noa | findstr :80
TCP 0.0.0.0:80 0.0.0.0:0 NASLOUCHÁNÍ 3372
TCP 192.168.1.10:1339 204.9.163.162:80 CLOSE_WAIT 1268
poslední sloupec je PID, což je ProcessID procesu, který otevíra TCP 80 a je to skype.exe:
C:\>tasklist /fi "pid eq 3372"
Název procesu PID Název relace Číslo re Využití pamě
========================= ====== ================ ======== ============
Skype.exe 3372 RDP-Tcp#10 0 40496 kB
Celé toto řešení je optimální z hlediska rychlosti detekce, další způsob je hledat proces Skype.exe, což je pomalejší a musí bý splněno více prerekvizit (Domain Admin, RPC,…). Naproti tomu spuštěný a připojený Skype bude mít vždy vytvořený proces Skype.exe, a to i v případě, kdy orignální Skype.exe přejmenujete na Neco.exe.
Sken portu na více stanicích:for /f %%i in (workstations.txt) do (
echo %%i >> log.txt
nmap %%i -p 80 |findstr /i "open" >> log.txt
echo.>> log.txt
)
Pokud nefunguje schránka mezi vzdálenou plochou a lokálním systémem (ctrl+c ctrl+v), většinou za to může zamrznutý proces rdpclip. Stačí ho na vzdálené ploše restartovat.taskkill /im rdpclip /f & rdpclip
Display all groups which is „Domain Users“ group member
dsquery group -name "domain users" | dsget group -memberof -expand | dsget group -samid
Display attribute rIDAvailablePool, this attribute specifies the space from which RID pools are allocated.
dsquery * "cn=rid manager$,cn=system,dc=domain,dc=com" -attr ridAvailablePool
Display list of users not logged since 1.11.2010
dsquery * "ou=users,dc=domain,dc=com" -filter "(&(objectCategory=user)(lastLogonTimestamp<=129330396000000000))" | dsget user -samid
Search a computer on the network by description - useful if description contain full user name
dsquery computer -desc *smith* | dsget computer -samid -desc
List groups a user is a member of
dsquery user -samid *userlogin* |dsget user -memberof -expand
dsquery user -samid *userlogin* |dsget user -memberof -expand |dsget group -samid
This command return the user accounts where is "Hide from Exchange address lists" parameter FALSE
dsquery * "ou=users,dc=myDomain,dc=cz" -limit 1000 -attr distinguishedName showInAddressBook | findstr /i "global"
Display all users atributes
dsquery * "ou=users,dc=myDomain,dc=cz" -attr *