Windows 运维速查
CMD / PowerShell / AD 域 / 服务 / 进程 / 网络 / 事件日志：Windows 服务器与终端运维排查命令全场景速查。
CMD 常用命令
文件、磁盘、网络与传统批处理命令
robocopy 基础用法热门
Windows 自带的健壮文件复制工具：支持重试、断点续传、多线程与完整日志；退出码语义特殊，脚本判断要特别注意。
dir 列出目录内容热门
CMD 最常用的目录列表命令：显示文件与子目录清单，支持通配符、递归、排序与隐藏项开关，是文件排查第一步。
ping 连通性与延迟测试热门
ICMP 回显测试：持续 ping、指定次数/大小/超时、不分片探测 MTU，是排查网络的第一步。
netstat 网络连接与端口
查看活动连接、监听端口与协议统计：-ano 组合是端口占用排查的标准起点。
ipconfig 查看与刷新 IP 配置
查看本机 IP/网关/DNS 与刷新 DHCP/DNS 缓存的标准命令：/all 看细节、/flushdns 清缓存、/release 与 /renew 重取地址。
cd 切换当前目录
切换当前工作目录（chdir 的别名）：跨盘切换必须加 /d，是批处理脚本中最基本的路径操作。
del 删除文件
删除文件（erase 同义）：/f 强制、/s 递归、/q 静默；删除不进回收站，目录必须用 rd。
copy 复制文件
命令提示符下的文件复制：单文件、通配符批量以及二进制合并都支持；不能复制目录树（目录要用 xcopy/robocopy）。
findstr 正则查找
功能更强的文本搜索：支持正则、递归目录、只列文件名与多模式组合，是 CMD 下过滤日志与配置的主力工具。
move 移动文件与目录
跨目录移动文件，也可给目录改位置/改名：同卷内瞬间完成，跨卷时实际是复制后删除，大目录要注意耗时与中断风险。
nslookup DNS 查询
查询域名解析结果与所用 DNS 服务器：支持指定服务器与记录类型（A/MX/TXT 等），排查 DNS 问题的第一工具。
rd 删除目录
删除目录（rmdir 的缩写）：默认只能删空目录，/s 才递归删除整棵目录树，/q 静默不确认。
xcopy 复制目录树
经典目录复制命令：整树复制、可按时间与属性筛选；老系统现场仍常见，新场景建议直接用 robocopy。
for 循环基础
遍历文件集合、目录、数字序列与文本行：CMD 最灵活也最容易踩坑的语法，命令行与批处理的百分号写法不同。
tasklist 查看进程列表
列出进程、PID、内存与会话：支持按镜像名/PID/用户名过滤，还是查 PID 对应服务与加载模块的入口。
md 创建目录
创建目录命令（mkdir 的缩写）：支持一次创建多级路径，路径中间层不存在会自动补齐。
type 查看文本文件内容
把文本文件内容输出到屏幕或管道：配合 find/findstr 可快速过滤日志，注意编码与二进制文件。
批处理文件基础模板
一个可维护 .bat 的最小骨架：@echo off、注释、参数与 %~dp0 定位自身目录，是所有 CMD 自动化的起点。
taskkill 结束进程
按 PID 或镜像名结束进程，支持连带子进程与过滤条件；处理挂死进程与批量清理的常用工具。
tracert 路由跟踪
逐跳显示数据包到目标经过的路由器与每跳延迟：定位“哪一跳开始变慢或中断”的经典工具。
copy / xcopy / robocopy 怎么选
三个复制命令的定位差异与选择建议：从单文件到生产级同步，选错工具会丢权限、丢隐藏文件或无法失败重试。
ren 重命名文件/目录
只改名字不改变位置：新名不能包含盘符与路径，目标已存在时直接报错不会覆盖。
set 查看环境变量
列出或临时设置环境变量：set 无参数列出全部，set 前缀过滤，set VAR=值 只影响当前会话。
if 条件判断
批处理分支语句：判断文件存在、字符串相等、数字大小与 errorlevel，是自动化里做逻辑判断的核心。
sc 服务控制命令
命令行管理服务：查询状态与配置、启停、改自启类型、配置失败恢复动作，文件服务发布与脚本运维常用。
schtasks 计划任务管理
命令行创建/查询/运行/删除计划任务：比 GUI 适合批量与远程维护，是 Windows 定时自动化的标准工具。
批量重命名文件
用 for 循环配合 ren 给一批文件统一加前缀或按序号编号：命令行写单百分号，批处理文件里必须写双百分号。
attrib 查看与修改文件属性
显示或修改文件/目录的只读、隐藏、系统、存档四种属性；U 盘病毒清理与批量改属性时的主力命令。
echo 输出与回显控制
显示文本、控制批处理是否回显命令、输出变量与空行：批处理日志与用户提示的基础机关。
net use 映射网络共享
连接/断开网络共享与映射盘符：支持临时连接、持久映射与凭据指定，net use 无参数查看当前连接。
diskpart 磁盘分区操作
交互式磁盘分区工具：list/select 定位磁盘，clean 清分区表，create/format/assign 建分区——高危命令集中营。
sfc 系统文件检查修复
扫描并修复受保护的系统文件：/scannow 全盘扫描，/verifyonly 只查不改，细节记录在 CBS.log。
pushd / popd 目录栈切换
保存当前目录并切换、用完弹回：支持嵌套使用与 UNC 路径自动映射盘符，是批处理里最安全的目录切换方式。
where 查找可执行文件位置
按 PATH 环境变量查找命令对应的可执行文件位置，支持递归搜索指定目录；排查“到底跑了哪个版本”的第一命令。
systeminfo 系统信息摘要
一条命令汇总主机名、OS 版本、安装时间、内存、网卡与补丁情况，工单与巡检的常用取证命令。
chkdsk 磁盘检查与修复
检查文件系统与磁盘表面：/scan 在线体检、/f 修复错误、/r 扫坏扇区（很慢），修复系统盘通常要排定重启。
shutdown 关机与重启
本机/远程关机、重启、注销与休眠，支持延迟与取消；维护窗口操作与远程重启的执行入口。
mklink 创建符号链接
创建符号链接/硬链接/目录联接：磁盘迁移、把大目录搬到其他盘但保持原路径可用时的利器。
whoami 当前身份与权限
显示当前登录用户与令牌细节：/groups 看组成员、/priv 看特权、/user 看 SID，排“权限不够”必用。
DISM 系统映像维护
维护 Windows 组件存储：CheckHealth/ScanHealth/RestoreHealth 三连修复系统组件，是 sfc 修不动时的后手。
wmic 系统信息查询
WMI 的命令行外壳：一条命令取硬件、磁盘、进程命令行的结构化信息；已被标记弃用，但存量环境仍大量使用。
find 查找文本行
在文件或管道输出中按字面量查找包含指定字符串的行：支持计数与行号，是 findstr 出现前的经典工具。
fc 比较文件差异
对比两个文本或二进制文件并列出差异区块：脚本时代排查“到底改了什么”的内置工具。
forfiles 按时间批量处理文件
对满足时间条件的文件逐个执行命令：定期清理旧日志、归档超过 N 天的文件的标准 CMD 方案。
ver 查看系统版本
显示当前 Windows 主版本号：批处理里常用它做系统分支判断，精确构建号要看 winver 或 systeminfo。
延迟变量展开 !var!
解决批处理块内变量“读到旧值”的经典问题：%var% 在解析时展开，!var! 在执行时展开。
route 管理路由表
查看、添加、删除静态路由：多网卡/专线/VPN 分流的常用调整手段，-p 参数可持久化。
reg 注册表命令行操作
命令行读写注册表：query 查看、add 写入、delete 删除、export/import 备份还原，脚本化配置的常用手段。
more 分屏查看
按屏查看文本：空格翻页、回车下一行、Q 退出；对大日志和长命令输出都适用。
U 盘文件被病毒隐藏恢复
典型 U 盘蠕虫会把文件整体设为“系统+隐藏”属性造成“文件消失”假象；用 attrib 一键恢复并清理 autorun 残留。
for /r /d 递归遍历目录
递归遍历目录树或只遍历目录：批量处理日志、统计目录结构时比 dir 解析更可控。
net start / net stop 启停服务
按“显示名”启停服务：net start 无参数列出正在运行的服务，适合手工操作与快速确认。
tree 目录树查看
以树形结构展示目录层级：/F 连文件名一起显示，是把目录结构输出给同事或写进工单的快捷方式。
chcp 切换控制台代码页
查看或切换控制台代码页：中文系统默认 936(GBK)，处理 UTF-8 输出或日志时可切到 65001。
setx 持久化环境变量
把环境变量写进注册表长期生效：支持用户级与系统级（/M），但不会影响已打开的窗口，且有长度与截断的坑。
goto 跳转与标签
用标签做流程跳转与错误处理：脚本末尾统一失败分支、循环重试、goto :eof 提前结束。
start 启动程序与打开文件
启动程序、打开文档/网页或新窗口运行命令：支持 /wait 阻塞、/min 最小化、/b 无新窗口、/d 指定工作目录。
arp 查看 ARP 缓存
显示与操作 IP-MAC 映射表：排查同网段通信异常、IP 冲突与二层定位时使用。
call 调用子脚本/标签
在一个批处理中调用另一个批处理或本文件内的标签子程序，并支持参数传递与返回值（ERRORLEVEL）。
bcdedit 启动配置管理
查看与修改引导配置（BCD）：调整启动项描述、安全模式开关、备份导出——改动前必须备份，写错可能无法开机。
path 查看与临时修改搜索路径
专门操作 PATH 的命令：无参数显示当前 PATH，path 新值 覆盖，path %path%;新增 追加，只作用于当前会话。
setlocal / endlocal 变量作用域
为脚本开一段“变量沙箱”：setlocal 之后的变量改动不会泄漏到外部环境，是脚本防污染的标准做法。
copy con 快速建文本文件
几乎被遗忘的小技巧：从键盘（CON）直接创建一个文本文件，无需编辑器，输入完按 Ctrl+Z 回车保存。
sort 文本行排序
对文本文件或管道内容按行排序：可指定起始列与逆序，输出用 /o 或重定向保存。
subst 映射虚拟盘符
把深层目录映射成盘符（如 W:），解决路径过长或需要盘符的场景；重启后失效。
choice 交互式选择
给脚本加一个选择题：按单键返回不同 ERRORLEVEL，支持超时默认项，适合安装/维护确认脚本。
date / time 查看与设置时间
查看或设置系统日期时间：/t 只显示不修改；服务器时间改动会影响域认证与日志时间线，优先走校时服务。
assoc / ftype 文件关联管理
查看与修复文件扩展名关联：双击文件打开方式错乱时，用 assoc 显示映射、ftype 显示实际打开命令。
hostname 查看计算机名
一行输出本机计算机名，脚本与工单里最常用来标记“在哪台机器上执行”。
timeout 等待延时
在脚本中等待指定秒数（可要求按键跳过或完全忽略按键），比用 ping 凑延时更优雅可靠。
start / explorer 打开目录与文件
在命令行直接打开资源管理器、定位文件或启动程序：start 的第一个引号参数是窗口标题，这是最经典的坑。
pause 暂停等待按键
暂停脚本并提示“请按任意键继续”，本地调试防命令行一闪而过时最常用。
replace 批量替换同名文件
用新版本文件替换目标目录中的同名文件：支持只更新更旧文件与只补充新文件，发布更新场景的老工具。
comp 逐字节比较文件
更老的文件比较命令：对文本与二进制逐字节比较，适合校验两个文件是否完全一致。
PowerShell 基础
对象管道、常用 cmdlet 与脚本要点
管道传递对象（不是文本）热门
PowerShell 管道的核心模型：上游命令输出 .NET 对象，下游直接按属性过滤与取值，这是与 CMD/Bash 文本管道最大的区别。
Get-ChildItem 列目录与文件
PowerShell 版的目录列表：返回 FileInfo/DirectoryInfo 对象而非文本，天然适合过滤、排序与管道计算。
Where-Object 按条件过滤
按属性条件筛选管道对象：支持简写比较语法与脚本块两种写法，是数据处理最常用的环节之一。
Select-Object 取列与取样
投影对象属性、限制数量、生成新对象：整理输出与 Top N 展示的核心工具。
Get-Member 查看对象成员
查看管道中对象的类型、属性与方法，是 PowerShell 最常用的侦察手段：不确定能取哪些字段就先 Get-Member。
ForEach-Object 逐项处理
对管道中每个对象执行操作：可直接调用方法，也可在脚本块里用 $_ 计算（PS7 起支持 -Parallel 并发）。
Get-Content 读取文本与日志
读取文本文件：默认逐行输出字符串数组，配合 -Tail/-Wait 可做日志尾部查看与实时跟踪。
Sort-Object 排序
按一个或多个属性排序，支持升降序与去重，常用于 Top N 与报表整理。
变量定义与类型约束
变量以 $ 开头、默认弱类型但可加类型约束：[int]$x 声明后后续赋值都会按类型校验，避免隐式转换埋雷。
Get-Command 查找命令
查找命令是否存在、来自哪个模块、有哪些参数：排查“命令找不到”与命令覆盖问题的第一工具。
Select-Object 计算属性
用哈希表定义新列（名称+计算表达式），把原始属性换算成人类可读的单位或派生值。
Select-String 内容搜索
在文件或文本中按正则搜索并返回匹配对象（文件名、行号、行内容），命令行版 grep。
执行策略 ExecutionPolicy
控制脚本执行许可：默认 Restricted 禁止运行 .ps1，是“脚本无法加载”类问题的第一大原因。
Test-Path 路径存在性判断
检查文件、目录、注册表项等路径是否存在，返回布尔值，是脚本前置校验的标准写法。
Remove-Item 删除文件与目录
删除文件/目录/注册表项；-Recurse 删目录树、-Force 处理隐藏与只读项——高风险操作，执行前务必核对路径。
自动变量 $_ $? $LASTEXITCODE $Error
内置自动变量记录当前对象、上条命令成败、外部程序退出码与错误集合，是脚本判断与排错的核心抓手。
try/catch/finally 结构化错误处理
捕获并处理错误：catch 用 $_ 拿错误对象、finally 做清理；需配合 -ErrorAction Stop 才能兜住非终止错误。
New-Item 创建文件与目录
创建文件、目录、注册表项与符号链接等；-Force 让缺失的父目录自动补齐，是脚本初始化目录的标准工具。
Copy-Item 复制文件与目录
复制文件、目录（含 -Recurse），支持强制覆盖；与 CMD 的 copy/xcopy 相比对象语义更清晰。
比较运算符 -eq -like -match
三种常用比较语义：-eq 精确相等、-like 通配符、-match 正则；混用会导致过滤结果偏差。
引号规则与转义
单引号是字面量、双引号可插值：理解 $ 展开与反引号转义，是避免脚本输出与预期不符的基础。
环境变量 $env: 读写
访问 Windows 环境变量：读取用 $env:NAME，进程内修改直接赋值，持久化用 [Environment]::SetEnvironmentVariable。
Get-Help 查看帮助与示例
PowerShell 内置帮助系统：查看语法、参数、示例与概念说明，比背命令更可靠；-Online 可打开官方文档。
PowerShell 版本与环境确认
确认当前用的是 Windows PowerShell 5.1 还是 PowerShell 7+：两者语法、默认编码与可用参数存在差异，排错前先对齐版本。
Move-Item / Rename-Item 移动与改名
移动文件位置或重命名：Move-Item 跨卷实际是复制+删除；Rename-Item 只改名不移动位置。
运算符总览
算术、比较、逻辑、赋值与字符串运算一览；PowerShell 比较运算符不是符号（-eq/-gt），这是与 C 系语言的最大差异。
Format-Table 表格输出
把对象渲染成对齐表格：-AutoSize 自适应、-Property 选列、-GroupBy 分组；仅用于展示，不参与后续计算。
ConvertTo-Json / ConvertFrom-Json
对象与 JSON 互转：调 API、读配置、传结构化数据的必用工具；注意默认深度限制会导致嵌套截断。
Measure-Object 数值统计
对数值属性做计数、求和、平均与最大最小值统计，是命令行版的“数值汇总”。
Compare-Object 差异对比
对比两组对象的差异（基准 vs 目标），用于文件清单、服务列表、配置项的多机核对。
Set-Content / Out-File 写文件
把文本或对象写入文件：Set-Content 原样写值、Out-File 写格式化输出，注意两者默认编码差异。
正则 -match / -replace
内置正则支持：-match 判断与 $Matches 捕获、-replace 替换、[regex]::Matches 批量提取，比手工切分稳。
哈希表 @{} 与有序字典
键值对集合：用于配置与快速查找；@{} 默认无序，需要保持插入顺序用 [ordered]@{}。
函数定义与返回值
function 封装可复用逻辑：输出流即返回值，任何未消费的输出都会混入结果，这是新手最常踩的坑。
通用参数 -Verbose -WhatIf
所有 cmdlet 都支持一组通用参数：-Verbose 看细节、-WhatIf 预演、-Confirm 二次确认、-ErrorAction 控制错误行为。
Export-Csv / Import-Csv 表格交换
对象导出为 CSV 或从 CSV 导入：跨系统交换数据最通用的格式，注意编码与 -NoTypeInformation。
Where-Object 语义陷阱
过滤逻辑写错是脚本结果异常的高频来源：理解比较运算符、通配与数组语义的差异，避免“看起来对”的筛选。
Group-Object 分组统计
按属性值把对象分组并计数，快速完成“一列聚合”分析（按状态统计服务、按扩展名统计文件）。
中文乱码与文件编码排查
PowerShell 读写文本的编码行为是中文乱码高发区：明确 5.1 与 7 的默认差异，读写都显式指定编码。
变量作用域与 script/global
函数、脚本块与模块各有作用域：默认赋值只在当前作用域生效，跨作用域修改要显式加 scope 前缀。
here-string 定义多行文本
用 @ 引号语法定义多行字符串：单引号版是字面量、双引号版可插值，适合嵌入配置、SQL 与消息模板。
数组定义与常用操作
数组用逗号或 @() 定义：索引、切片、倒序与长度统计；注意 += 会新建数组而非原处追加。
脚本参数 param 块
脚本开头声明参数：类型约束、默认值、必填与白名单，让脚本像 cmdlet 一样规范可用。
错误处理偏好 $ErrorActionPreference
全局或局部控制错误行为：默认 Continue 继续执行，脚本里常设 Stop 让错误立即中断，避免带病运行。
模块管理与 Get-Module
模块是命令的集装箱：Get-Module 查看已加载、Import-Module 显式加载、Remove-Module 卸载；定位命令来源与版本差异的入口。
Get-FileHash 计算文件哈希
计算文件的 SHA256/MD5 等哈希值，用于校验下载完整性、对比两台机器上的文件是否一致。
字符串方法 Split/Trim/Replace
字符串是对象，可直接调用 .NET 方法处理：Split/Trim/Replace/Substring/ToUpper 比文本切割更精确。
Format-List 明细输出
纵向列出对象全部属性：字段多、值长时比表格可读，排查单个对象（进程/服务/错误记录）的首选方式。
Split-Path / Join-Path 路径处理
拆解与拼接路径的标准方法（取代手工字符串拼接），避免双反斜杠、相对路径混乱等问题。
逻辑运算符与短路求值
组合条件：-and/-or/-not/-xor；理解短路求值，可把可能出错的表达式放在右侧被“短路保护”。
PSCustomObject 自定义对象
用 [pscustomobject]@{} 快速构造结构化对象：输出表格美观，且能直接导出 CSV/JSON，替代拼字符串输出。
$Error 与异常细节排查
错误排查三件套：$Error[0]、$Error[0].Exception、-ErrorVariable，用于还原命令失败的真正原因。
别名 Get-Alias / Set-Alias
命令的短名称（dir/curl/wget 等）：查看别名指向、区分“命令行为不同”的原因与自定义别名的方法。
空值判断与安全比较
PowerShell 空值语义细节多：$null 比较要放左侧、空数组与空字符串不同、集合判空与属性缺失的区分。
脚本自身路径 $PSScriptRoot
获取当前脚本所在目录，用于构造与脚本相对的路径，避免依赖“当前工作目录”导致找不到配置文件。
Profile 启动脚本
每次打开 PowerShell 自动加载的脚本：放常用别名、函数与环境初始化；排查“换台机器命令就不好使”先看 Profile。
提供程序与 PSDrive
统一提供程序模型访问注册表、证书、环境变量等：Get-PSDrive 列出，定位到 HKLM: 后可用相同 cmdlet 操作。
-f 格式化运算符
用 {0}/{1} 占位符格式化字符串，常用于生成对齐输出与固定宽度报表。
Install-Module 安装模块
从 PowerShell Gallery 安装模块（如 ActiveDirectory、Pester），支持用户级安装免提权。
Compress-Archive 打包压缩
把文件/目录打包成 zip（或解压 Expand-Archive），日常备份与日志归档的快速手段。
场景：批处理脚本迁移到 PowerShell
把传统 bat 的常见写法换成 PowerShell 等价形式：从 for 批处理到对象管道，逐项对照迁移。
Invoke-Expression 执行字符串命令
把字符串当命令执行（类似 eval），灵活但风险高：涉及外部输入时可能造成命令注入。
Splatting 参数展开
把参数字典/数组用 @ 前缀展开为命令参数，让长命令更可读，也支持动态生成参数。
PSModulePath 模块搜索路径
模块自动发现的目录清单：该变量被改坏后会出现“明明装了模块却找不到命令”。
PS7 新语法：三元与空合并运算符
PowerShell 7 引入三元运算符与空合并运算符，简化条件赋值；5.1 不支持，写兼容脚本要注意。
Update-Help 更新帮助库
下载最新帮助文件到本机，解决离线帮助内容缺失问题；可配合 -Module 定向更新特定模块。
网络排查
ipconfig、netsh、路由与端口检测
ipconfig /all 完整网络配置热门
查看所有网卡的完整配置：IP、掩码、网关、DNS、DHCP 与 MAC，是网络排查的第一步。
Test-NetConnection 连通性测试
PowerShell 综合连通测试：DNS 解析、ICMP、TCP 端口与路由追踪一体，替代多个传统命令。
netstat 查看监听与活动连接
列出本机所有监听端口与活动连接：确认服务是否在听、谁在连接、连接数是否异常。
定位端口被哪个进程占用
经典组合拳：netstat 找 PID → tasklist/Get-Process 找进程名，解决“端口被占用”启动失败问题。
端口连通性单点测试
确认目标端口是否可达：远程端口探测与本地监听状态交叉验证，是服务不可达排查的核心步骤。
开放/删除入站端口规则
给端口放行入站流量：netsh 与 New-NetFirewallRule 两种写法，开放前先想清来源范围。
ping 进阶用法
持续探测、指定次数与载荷大小、设置超时：ping -t/-n/-l/-w 组合用于丢包与延迟定位。
查看防火墙状态与策略
确认域/专用/公用三档配置文件是否开启、默认入站策略如何，是“端口不通”排查的必查项。
ipconfig 刷新 DHCP 与 DNS 注册
释放/重新获取 IP（/release /renew）与重新注册 DNS（/registerdns），处理租约异常与解析问题。
nslookup 指定服务器排查解析
手工发起 DNS 查询：可指定 DNS 服务器与查询类型，验证“解析问题还是网络问题”。
场景：服务部署后外部访问不了
端口不通的四层排查链：本机监听 → 本机防火墙 → 中间设备/代理 → 云安全组，逐层排除。
Get-NetIPConfiguration 查看 TCP/IP 配置
PowerShell 版网络配置总览：一次列出网卡、IP、网关、DNS 与接口状态，结构化输出便于脚本判断。
route print 查看路由表
查看本机路由表：判断流量走哪张网卡、是否存在多条默认路由冲突。
Resolve-DnsName 结构化解析
PowerShell 的 DNS 查询命令：支持指定记录类型（A/AAAA/CNAME/MX/SRV/TXT）与查询服务器，输出为对象。
清空 DNS 解析缓存
DNS 已改记录但本机仍解析到旧地址时，清缓存是最快验证手段；PowerShell 对应 Clear-DnsClientCache。
tracert 路由跟踪进阶
逐跳定位网络中断点：-d 跳过反向解析（更快）、-h 限制跳数、-w 设置超时，找出从哪一跳开始不通。
场景：某网站打不开但能上其他站
单站点故障的分层排查：DNS 解析 → 端口连通 → 代理设置 → 应用层验证，给出最短路径。
netsh 设置静态/动态 IP
命令行配置网卡 IP：set address 指定静态地址或切回 DHCP，服务器改 IP 的标准操作。
Get-NetTCPConnection 连接视图
PowerShell 结构化查看 TCP 连接：按状态与端口筛选、分组统计连接分布，比 netstat 文本灵活。
场景：能通内网不能上外网
内外网分层排查：默认网关 → IP 连通 → DNS → 出口策略与代理，常见根因是 DNS 或网关缺失。
hosts 文件排查
本机静态解析优先于 DNS：排障时确认 hosts 未被改乱，也可用它做临时解析验证。
添加/删除临时路由
给特定网段指定网关：route add 立即生效（默认重启失效），加 -p 永久保存；删错路由比加错更危险。
设置网卡 DNS 服务器
修改 DNS 解析服务器（含备选）：解析变慢、内部域名找不到时的常见修复点。
arp 查看与清理 ARP 缓存
查看 IP 与 MAC 映射，排查同网段不通、IP 冲突与网关 MAC 是否异常。
场景：网络时快时慢怎么查
先定量再定性：用 ping/pathping 测丢包与抖动，再区分无线、MTU、带宽占用三类原因。
防火墙封禁/解封 IP
临时封禁恶意来源 IP 或网段：添加 block 入站规则，处置结束后及时清理避免误伤。
pathping 逐跳丢包统计
ping 与 tracert 的结合：对各跳做时间统计，输出每个节点的丢包率，定位“从哪一跳开始劣化”。
重启/禁用网卡
网络僵死或 DHCP 不刷新时重启网卡：Restart-NetAdapter 等效插拔网线，通常数秒恢复。
netsh 查看接口与 IP 配置
netsh interface 子命令查看接口列表与 IP 配置：接口名、状态、地址与 DHCP 模式一目了然。
MTU 查看与修改
排查大文件传输失败、VPN 断流时的 MTU 问题：查看各接口 MTU 并按需调整。
netsh wlan 查看无线状态
查看无线网卡连接状态、SSID、信号与速率，以及已保存的无线配置文件。
netsh trace 抓包与网络跟踪
系统自带抓包：采集 ETL 网络跟踪，转换后可用 Wireshark 分析，排查疑难网络问题。
Get-DnsClientCache 查看解析缓存
列出本机 DNS 缓存条目（记录名、类型、TTL、数据），用于验证解析结果与缓存来源。
netsh winhttp 代理配置
配置系统级（WinHTTP）代理：Windows 更新与部分服务走此代理，与浏览器代理是两套体系。
Get-NetNeighbor 邻居表
PowerShell 版 ARP/邻居表：结构化查看同链路设备映射，可按状态过滤（Reachable/Stale）。
重置 Winsock 与 TCP/IP 栈
修复疑难网络异常的手段：重置 Winsock 目录与 TCP/IP 栈，处理代理残留、协议损坏等，需重启。
Get-NetAdapterStatistics 网卡统计
查看网卡收发字节、丢弃与错误计数：判断网卡层异常流量或硬件错误。
导出/导入无线配置文件
批量部署无线网络：把已保存的 profile 导出为 XML，在其他机器导入即可连网。
IE/WinINET 代理设置排查
浏览器级代理存于注册表 Internet Settings：ProxyEnable/ProxyServer/ProxyOverride，脚本可统一读取排查。
IPv6 地址与连通性排查
IPv6 基础排查：查看地址（含链路本地与临时地址）、ping -6 测试与双栈优先级问题。
查询本机公网出口 IP
确认 NAT 后的出口 IP：填写白名单、对比不同网络出口差异时的基本操作。
服务与进程
服务管理、进程查找与资源占用定位
Get-Process 进程对象查询
PowerShell 结构化进程查询：CPU、内存、句柄、路径等属性齐全，天然适合排序与筛选。
sc query 查询服务状态
查询单个或全部服务状态：运行状态与退出码，排查服务问题的第一命令。
Get-Service 查询服务
PowerShell 结构化查询服务：名称、状态、启动类型与显示名，支持通配与管道过滤。
tasklist 排查进程与承载服务
命令行查看进程：PID、会话、内存与所属用户（/v），支持按镜像名与 PID 过滤。
taskkill 结束进程树与强制终止
按 PID 或镜像名结束进程：/F 强制、/T 连子进程、/PID 精确，误杀系统进程代价高。
Start/Stop/Restart-Service 控制服务
PowerShell 控制服务生命周期：-Force 处理依赖服务、-PassThru 拿到结果对象用于确认。
服务启动失败排查流程
服务起不来时的固定套路：查状态与退出码 → 手动运行程序 → 看事件日志 → 核依赖与权限。
sc config 修改服务配置
修改服务启动类型与登录账户：auto/demand/disabled；改前先 sc qc 留存现状，便于回滚。
net start / net stop 服务启停与依赖处理
传统启停命令：net start 无参数列出运行中的服务，指定名称启停单个服务（名称含空格需引号）。
场景：CPU 跑满怎么排查
从整体到个体的顺序：先区分用户态/内核态，再锁定进程与线程，最后判断业务高峰还是异常。
resmon 资源监视器定位占用
图形化一屏看 CPU/内存/磁盘/网络四类占用，还能按句柄搜索被占用的文件：排查“是谁占着它”的最快路径。
sc start / stop 启停服务
脚本化启停单个服务：start/stop 是异步请求，需要轮询 query 确认最终状态。
Stop-Process 结束进程
PowerShell 结束进程：按名称或 PID，-Force 强制；可组合对象筛选实现精确制导。
CIM/WMI 查询进程（Win32_Process）
通过 CIM 类查询进程：能拿到命令行、父进程、用户等 Get-Process 没有的信息。
开机启动项排查（谁在随机启动）
定位自启动来源：CIM 查 Win32_StartupCommand，配合 Run 注册表键与启动文件夹；疑难杂项用 Autoruns 全量枚举。
sc qc 查看服务配置详情
查看服务二进制路径、启动类型、登录账户与依赖：判断“服务到底跑的是哪个程序”的第一步。
资源占用定位：内存 Top 排行
按工作集内存排序找“大头进程”：WorkingSet64 是物理内存、PrivateMemorySize64 是私有内存。
场景：内存越用越少怎么排查
内存问题的三步法：看总量与可用、找增长进程、区分缓存与泄漏；先量化再动手。
query user 查询登录会话
查看当前在线用户、会话 ID、空闲时长与登录时间；排查“谁连着服务器”“残留会话占资源”的第一手信息。
计划任务进程排查
计划任务“没跑成功”先看状态与上次结果：Get-ScheduledTask 看状态，Get-ScheduledTaskInfo 看返回码，结合事件日志确认真实执行。
Set-Service 修改启动类型
调整服务启动类型（Automatic/Manual/Disabled）或显示名：比 sc config 更直观的日常方式。
资源占用定位：CPU Top 排行
按 CPU 时间排序找出吃 CPU 的进程，并用采样差值区分“正在忙”与“累计高”。
查看进程启动命令行
同一个 exe 多开时，命令行里的端口与配置参数是区分实例的关键。
抓取进程转储（dump）做崩溃分析
进程卡死或崩溃时保留现场：任务管理器一键创建转储，或用 ProcDump/comsvcs 抓取，分析交给 WinDbg。
场景：服务停止/删除不掉
服务卡在 STOP_PENDING 或删除后仍显示：先查依赖与宿主进程，再删注册表标记，最后重启完成清理。
sc create / delete 创建删除服务
把程序注册为 Windows 服务或删除服务记录：部署与清理残留时使用，删除前先停用服务。
场景：服务假死（无响应）排查
服务进程在但功能停摆：先确认状态与端口，再看资源与日志，最后重启并保留现场。
服务依赖关系排查
查清“谁依赖我、我依赖谁”：停止/启动失败经常是依赖链问题，先看依赖再动手。
进程与服务/用户会话对照
把 PID 与“哪个服务、哪个用户会话”对上：tasklist /svc /v 与 CIM 查询的组合用法。
sc failure 配置服务失败恢复动作
让服务崩溃后自动重启或执行告警脚本：配置第一/二/后续失败动作与计数器重置周期，用 sc qfailure 复核。
句柄泄漏排查
句柄数只涨不落最终耗尽：先按 Handles 排行找嫌疑进程，再用 handle 工具看具体对象类型，区分句柄/内存/句柄表问题。
服务登录账户排查
服务以哪个账户运行决定权限边界：LocalSystem/NetworkService/自定义域账户，权限与网络访问问题先核对它。
svchost 进程与承载服务解析
svchost.exe 是共享宿主：一个进程承载多个系统服务，排查“哪个 svchost 在吃资源”要映射到服务。
System / Idle 等特殊进程解读
任务管理器里 Idle、System、Registry、Memory Compression 不是可疑进程：理解各自含义，避免把正常现象当故障。
进程 CPU 时间与占用率估算
Get-Process 的 CPU 属性是累计秒数不是百分比：用两次采样差值除以时间窗口，才能得到短期占用率。
线程状态与等待排查
进程卡住时下钻到线程：看线程数与 CPU 时间排序，配合 Process Explorer 线程栈/Wait Chain 找到阻塞点在等什么。
性能监视器与数据收集器
perfmon 是性能数据中枢：实时曲线、计数器日志与数据收集器集；疑难问题先建采样再复现。
进程父子关系与进程树
理解进程树：父进程退出后子进程可能仍在，造成“孤儿进程”与残留。
Get-Counter 命令行采样
PowerShell 读取性能计数器：脚本化采样与阈值判断，适合无人值守巡检。
页面文件与虚拟内存排查
提交内存逼近上限时应用报“内存不足”：查看页面文件与提交量，区分配置问题与泄漏。
服务 SID 与安全描述符（sc showsid/sdshow）
查看服务 SID 与安全描述符，配合 sdset 做最小权限加固：只给服务账户必需权限，先备份再改。
wmic 传统用法与替代
老牌 WMI 命令行：process/service/os 查询在旧资料中常见；新系统已弃用，脚本要迁移。
磁盘与文件
磁盘管理、空间分析与权限设置
场景：C 盘满了怎么清（从安全到激进）
按“先安全后激进”顺序清：临时文件→回收站→旧更新组件→休眠/页面文件→应用数据，全程先看清再删。
robocopy 镜像同步（/MIR）
把源目录完整镜像到目标：多出的文件会被删除，只复制差异；同步前务必先跑 /L 预演确认删除范围。
空间分析：找出哪个目录在吃盘
用 Get-ChildItem 递归统计并按目录汇总大小：定位大目录大文件；百万级文件目录建议用 WizTree/TreeSize 提速。
diskmgmt.msc 磁盘管理控制台
图形化磁盘管理入口：看磁盘/卷布局，初始化、新建、扩展卷与改盘符都在这里；服务器核心版用 diskpart 替代。
Get-Disk 查看物理磁盘
列出所有物理磁盘：编号、容量、分区表类型、运行与健康状态；排查新盘认不到、盘脱机的第一站。
Get-Volume 查看卷与剩余空间
一个命令列出所有卷的盘符、文件系统、容量与剩余空间，批量巡检比在资源管理器逐盘点开快得多。
chkdsk 磁盘检查（/scan 与 /f /r 区别）
只读扫描优先 /scan；文件系统修复用 /f（需锁卷）；坏扇区扫描用 /r（最慢）。系统盘会安排到重启时执行。
icacls 查看文件与目录权限
命令行查看 ACL：账号、权限掩码、继承标记；比图形属性对话框快得多，权限审计与脚本核对首选。
新建分区并格式化（New-Partition + Format-Volume）
新盘上线标准动作：创建分区、分配盘符、格式化一气呵成；-UseMaximumSize 吃满剩余空间。
场景：磁盘占用率 100% 排查
活动时间 100% 多因慢盘、队列积压或海量小文件 IO：先量化队列与进程，再决定加缓存、调整任务或升级存储。
cleanmgr 磁盘清理工具
经典清理对话框：临时文件、更新缓存、回收站、缩略图等按类清理；/sageset 可预设类别后静默执行。
icacls 授权与移除权限
给用户/组授权（/grant）、替换已有授权（/grant:r）、移除（/remove）：/grant 是叠加语义，重复执行会累积条目。
场景：大目录迁移到新盘（安全流程）
迁移五步：预演→复制→校验→切换→观察：robocopy /MIR /COPYALL 打底，校验通过再改配置，保留源目录一个备份周期。
Get-Partition 查看分区
按磁盘或盘符查看分区：编号、大小、类型、偏移与访问路径；扩展卷和分区对齐排查的基础数据。
扩展卷（Resize-Partition）
磁盘扩容后把新增空间并入现有分区：先确认未分配空间紧邻分区右侧，再扩到 SupportedSize 上限。
diskpart 脚本化操作
把 select/clean/convert/create/format 写进脚本用 /s 执行：批量装机与远程运维的标准做法。
场景：新加盘看不到 / 显示脱机
新盘排查顺序：物理连接与 RAID 状态 → Get-Disk 是否可见 → 联机 → 初始化 → 分区盘符，逐层确认。
robocopy 日志与节流参数
长任务要留日志：/LOG 记录、/TEE 同时输出屏幕、/R:2 /W:2 控制重试、/MT 多线程提速、/IPG 控制带宽占用。
初始化新磁盘（MBR/GPT）
全新磁盘必须先初始化：2TB 以上或 UEFI 启动选 GPT，老系统或小盘可 MBR；初始化会清空分区表。
DISM 组件存储清理（WinSxS）
WinSxS 不能手删：用 /AnalyzeComponentStore 量化，/StartComponentCleanup 清理被取代组件，/ResetBase 进一步压缩但影响更新回滚。
robocopy 备份模式与权限复制
复制安全描述符要用 /COPYALL 或 /SEC；被拒绝的文件用 /B（备份模式，需备份权限）；/EFSRAW 处理加密文件。
卷影副本与“以前版本”还原
误删/误覆盖文件的最后防线：vssadmin 查看现有快照，客户端右键属性“以前版本”自助还原；服务器需配置 VSS 计划任务。
修改或分配盘符
盘符冲突或想换字母：Set-Partition -NewDriveLetter 即可；改完检查依赖旧盘符的程序与快捷方式。
磁盘健康与 SMART 信息
Get-PhysicalDisk 看健康状态，Get-StorageReliabilityCounter 读温度、磨损、通电时间与错误计数，提前发现隐患盘。
icacls 继承控制与重置
理解“权限为什么是这样”：/inheritance:r 断开继承（不保留）、:d 断开并复制；/reset 按继承重建（会清掉显式权限）。
net share 管理共享
命令行查看/创建/删除 SMB 共享，包括默认管理共享 C$、ADMIN$；创建时注意共享权限与 NTFS 权限要分别处理。
net use 映射网络盘
映射/断开网络共享、持久化与凭据传递：排查“盘符显示红叉/多重连接冲突 1219”的常用工具。
diskpart clean 抹盘与 clean all 区别
clean 只清分区表（秒级），clean all 逐扇区清零（与容量成正比）；两者都不可逆。
处理磁盘脱机与只读
磁盘显示 Offline/ReadOnly：确认非硬件故障后联机、清只读；共享存储场景先核对集群与多路径归属。
场景：分区存在但资源管理器看不到
有分区没盘符：检查盘符是否已分配/被占用，或卷挂载在文件夹下；用 Add-PartitionAccessPath 恢复访问。
长路径（260 字符限制）处理
经典 260 上限来自历史 API：Win10 1607+ 可开启长路径支持，加上应用与工具本身支持，才能彻底摆脱限制。
PowerShell 管理 SMB 共享
SmbShare 模块完整管理共享：New-SmbShare 创建、Grant-SmbShareAccess 授权、Get-SmbShareAccess 审计、Remove-SmbShare 删除。
fsutil 文件系统底层工具
查脏位、可用空间、USN 日志与 NTFS 参数；理解卷状态和排查“每次开机都跑检查”这类问题的利器。
关闭休眠释放 hiberfil.sys
休眠文件默认占内存约 40%（完整为 75%-100%）：台式服务器一般不需要休眠，powercfg /h off 可立即回收。
takeown 接管文件所有权
连管理员都“拒绝访问”时的兜底：把目录/文件所有权改为管理员组（/A），再用 icacls 重新授权。
Optimize-Volume（碎片整理与 TRIM）
HDD 做碎片整理、SSD 做重定位/TRIM：先查介质类型再选动作，服务器也应定期执行或交给计划任务。
格式化文件系统怎么选（NTFS/ReFS/exFAT）
系统盘与常规数据盘用 NTFS；大容量数据盘可评估 ReFS；跨设备移动介质用 exFAT；选定后格式化参数保持默认。
把卷挂载到文件夹（无盘符）
盘符不够或想按路径组织存储时，把卷挂到空文件夹：访问路径就是目录，配合应用日志/数据目录很好用。
存储感知与自动清理
Windows 10/11 的自动化清理：定期清临时文件与回收站、按需释放空间；设置位置与命令行触发方式。
openfiles 查看被打开的文件
系统级“打开文件”查询：谁打开了共享上的哪个文件；本地跟踪需要先 /local on 并重启生效。
基本磁盘与动态磁盘概念
基本盘用标准分区表；动态盘支持跨区/带区/镜像卷（软 RAID），但兼容性与迁移限制多，现代环境更推荐存储池或硬件 RAID。
NTFS 压缩与 compact 命令
对日志/文本类目录开 NTFS 压缩换空间：compact /c 设置、/u 取消；用 CPU 换空间，高吞吐写入目录慎用。
EFS 加密文件与迁移注意
EFS 与用户证书绑定：拷贝走文件不带走密钥就打不开；迁移前用 cipher 核查加密范围，密钥必须有备份。
用户与权限
本地用户、组策略与共享权限
共享权限 vs NTFS 权限（取交集）
网络访问要同时过两关：共享权限与 NTFS 权限，最终生效的是两者中最严格的那个；本地登录只看 NTFS。
net user 查看本地账户
查看单个或全部本地账户：启用状态、密码到期、上次登录、允许登录时段；用户管理的第一条命令。
net localgroup 组成员管理
查看本地组与成员、增删成员：把账号加入 Administrators / Remote Desktop Users 等组，权限从组来。
NTFS 权限基础（基本权限与高级权限）
读/写/修改/完全控制是基本权限的组合视图；底层由 14 项高级权限构成，理解组合关系才能看懂 ACL。
场景：访问被拒绝排错（五步法）
被拒排错顺序：确认身份(SID)→两条权限链→有效权限→父级继承→所有权兜底，每步留下证据。
Get-LocalUser 查询本地用户
对象化列出本地用户：启用状态、密码上次设置/到期、最后登录；筛选夜表与导出 CSV 都方便。
whoami 查看当前身份与特权
“我是谁”：名称、SID、所属组、令牌特权；排查“为什么能/不能做某事”的基础证据。
net user 创建、删除与改密
脚本化账户操作：/add 创建、/delete 删除、交互式改密；域环境下加 /domain 直接在域控执行。
场景：员工离职权限清理清单
离职处置一条链：禁用账户→回收组→转移数据所有权→清理特权→回收凭据与远程访问→归档审计记录，逐项留痕。
New-LocalUser 创建本地用户
脚本化建号：名称、密码、描述、到期一次配好；创建后再用 Add-LocalGroupMember 入组才有实际权限。
场景：共享“能读不能写”排查
能读不能写=写权限在某层被卡：检查共享权限是否只读档、NTFS 是否缺写入/删除子项、以及只读属性与配额。
Set-LocalUser 修改与停用账户
改描述/到期/启用状态：离职或临时停用用 Disable-LocalUser，重命名用 Rename-LocalUser（SID 不变）。
本地组管理（New-LocalGroup 全流程）
建组-加人-查人-移除一条龙：New-LocalGroup / Add-LocalGroupMember / Get-LocalGroupMember / Remove-LocalGroup。
net accounts 本机密码与锁定策略
查看和设置本机策略：最小长度、有效期、历史数量、锁定阈值/时长；域机上域账号策略由域 GPO 决定。
本机账户安全检查清单（四件套）
定期核查：多余管理员、永不过期密码、Guest 状态、长期未登录账户；一套命令导出清单逐项确认。
继承与传播规则（(I) 标记）
新建子项默认继承父级 ACL；改父级会传播到继承项，显式断开的子项不受影响；(I) 表示来源是继承。
部门共享目录的权限设计建议
一个可落地的最小模型：共享层给“更改”，NTFS 层用安全组细分读写；个人/部门/敏感三层目录树，禁止直接给个人授权。
内置组职责速记
五个最常用内置组：Administrators 全权、Remote Desktop Users 允许 RDP、Backup Operators 备份特权、Users 标准、Guests 访客。
UAC 与管理员批准模式
管理员默认用标准令牌运行，敏感操作弹窗提权：EnableLUA、ConsentPromptBehaviorAdmin 等关键开关速查。
脚本自提权（检测并 RunAs 重启自身）
PowerShell 脚本需要管理员：先检测当前令牌，不是管理员就用 RunAs 重启自身，再退出原进程。
有效权限怎么算（并集 + 拒绝优先）
多个组权限取并集（累加），任何一处显式拒绝一票否决；“有效权限”选项卡/Get-Acl 都能验证。
权限备份与还原（icacls /save /restore）
批量改权限前先备份 ACL：icacls /save 导出，/restore 还原；或 Get-Acl 序列化为文件供审计比对。
SID 与已知安全标识速记
账户/组的唯一 SID：重命名不变；S-1-5-18 SYSTEM、S-1-5-19 本地服务、S-1-5-20 网络服务、S-1-5-32-544 管理员组。
runas 以其他账户身份运行程序
在交互会话中用别的身份启动进程：runas /user:DOMAIN\admin cmd；/savecred 保存凭据有安全代价。
移动与复制对权限的影响
同一卷内移动保留原 ACL；跨卷复制/移动继承目标目录权限——这解释了大量“复制后权限变了”甚至“打不开了”的问题。
本地账户被锁：现象、排查与解锁
本地账号锁定后登录报“账户已锁定”：先查策略阈值与 4625 失败来源，通常等待锁定期或改密清零计数即可解锁。
cmdkey 管理存储凭据
凭据管理器命令行版：列出/添加/删除保存的网络与 RDP 凭据，排查反复弹密码、自动重连失败问题。
显式拒绝（Deny）的使用与陷阱
Deny 优先级最高、一票否决：用于封堵个别越权面；滥用会让权限模型难以推理，多数场景用“少授权”替代。
Get-Acl / Set-Acl 与 SDDL
PowerShell 侧权限操作：读对象化 ACL、克隆到其他对象、导出为 SDDL 文本便于比对与归档。
用户配置文件路径与清理
C:\Users 下每账户一个目录：查当前路径用 $env:USERPROFILE；删了账户目录不会自动消失，容易占盘与残留注册表项。
所有者变更与所有权语义
所有者始终能改自己对象的权限（无需额外授权）：排查权限时先看“所有者是谁”；变更用 icacls /setowner。
管理员为什么总能访问（特权与取得所有权）
管理员组默认拥有“取得所有权”和备份特权：所有权在手即可重写 ACL；这不是 ACL 漏洞而是设计。
用户权利分配（secpol.msc 本地策略）
“权限”之外的旁路机制：交互登录、远程登录、作为服务运行、拒绝本地登录等权利在本地安全策略里配置。
场景：本机管理员访问丢失（授权恢复）
合法前提下恢复管理访问：先找其余管理员账户，其次安全模式内置管理员，域机走域管理员组；企业设备按 IT 流程与工单执行。
AD 域与组策略
域账号、OU、GPO 与域控排查
场景：域账号被锁怎么排查（完整链路）
锁定排查四步：确认锁没锁→找锁定来源→清理错误密码引用→观察复查；重点在第二三步。
Get-ADUser 基础用法
PowerShell AD 模块的主力：按身份/过滤器/搜索库三种姿势找用户，输出对象便于筛选与批处理。
gpupdate 强制刷新组策略
改完策略让客户端立即拉取：gpupdate /force 全量刷新，/target 可只刷用户或计算机部分。
gpresult /r 查看生效策略
核对“这台机器/这个用户到底应用了哪些 GPO”：RSOP 摘要 + 被拒 GPO 列表，排障必看。
Unlock-ADAccount 解锁域账号
域账号被锁的标准解锁：先看锁定来源（4740/4625），解锁只是止血；找出错误密码来源才是根治。
场景：GPO 不生效排查流程
五问法：对象在不在作用域？安全筛选过了吗？WMI 过滤过了吗？被强制/块继承压制了吗？目标侧确实刷新了吗？
Search-ADAccount 快速筛选异常账户
内置场景化筛选：锁定、密码过期/将过期、已停用、长期未登录——审计与清理的最快入口。
场景：域账号离职处置流程（域侧）
域侧离职清单：停用→移出全部权限组→转移数据→移动 OU 隔离→回收远程访问→归档；与本地/云侧联动。
Get-ADUser 过滤与分页细节
-Filter 用 PowerShell 语法、-LDAPFilter 用 LDAP 语法；大结果集要分页参数，导出字段要先把属性点全。
重置域账号密码与强制改密
Set-ADAccountPassword + ChangePasswordAtLogon：帮用户重置后强制其下次登录自改；改服务账号密码要同步更新全部引用。
New-ADUser 创建域账号
域建号一条命令：指定姓名/SAM/UPN/OU/初始密码；注意默认是禁用状态，需要显式 -Enabled $true。
GPO 处理顺序与优先级（LSDOU + 权重）
处理顺序 本地→站点→域→OU（树自顶向下），后处理胜出；同层内“链接顺序数字小”的优先。
w32tm 时间同步配置与排查
域内时间依赖域控层级同步：客户端 w32tm /query /status 看状态，/resync 强制同步，/stripchart 观察偏差。
场景：登录慢 / 卡在“正在应用组策略”
登录慢三查：域控可达性与就近站点、组策略处理耗时（同步脚本/驱动器映射）、登录脚本与配置文件；用事件与日志定位阶段。
dsquery user 查询域用户
AD DS 传统命令行工具：按名称/SAM 名模糊找用户，输出 DN 供其他 ds* 工具接力使用。
停用与重新启用域账号
Disable-ADAccount 是离职处置第一步：保留对象与 SID 便于审计；观察期后按流程删除或移动到离职 OU。
域组成员管理（加入/移除/查所属）
批量入组用 Add-ADGroupMember，移除用 Remove-ADGroupMember，查某人全部组用 Get-ADPrincipalGroupMembership。
Get-ADComputer 查询域计算机
查找域内计算机账号：按名称/OU 过滤、查操作系统与上次登录，用于资产盘点与陈旧对象清理。
Get-ADGroup 与成员查询
查组的类型与范围、列成员：Get-ADGroup / Get-ADGroupMember；嵌套组用 -Recursive 展开。
gpresult /h 生成 HTML 报告
把生效策略导出成 HTML 报告：含应用顺序、获胜 GPO 与各设置的值，适合工单留证与跨团队沟通。
dcdiag 域控健康体检
域控排障第一工具：连通性、复制、DNS、FSMO、时间等一排测试，异常项逐条给结论。
FSMO 五大角色速查
林级 2 个（Schema、Domain Naming）+ 域级 3 个（PDC、RID、Infrastructure）；PDC 还兼时间源与密码锁定判定。
GPO 备份与还原（Backup-GPO）
改 GPO 前先备份：Backup-GPO 导出到目录，Import-GPO/Restore-GPO 还原；变更与备份都记录在案。
Move-ADObject 移动对象到新 OU
把用户/计算机移入目标 OU 以套用对应 GPO：迁移前后用 gpresult 复核策略变化，别让对象“裸奔”在默认容器。
域账号长期未登录审计（LastLogonDate 陷阱）
清理僵尸账号前搞清时间字段：LastLogon 不复制、LastLogonTimestamp 复制但滞后（默认约 14 天），LastLogonDate 是换算视图。
RSOP 与组策略建模/结果
RSOP.msc 看当前机器实际生效的策略视图；GPMC 的“组策略建模”可在不动生产的前提下推演 OU/组改动的影响。
klist 查看与清理 Kerberos 票据
认证类怪问题先看票据：klist 列出当前会话票据与到期时间，klist purge 清票强制重新认证，klist tgt 看 TGT 细节。
repadmin 检查 AD 复制
看域控间复制拓扑与失败原因：“/replsummary”一屏看全局，“/showrepl”看每台明细，“/syncall”手动触发。
域 DNS SRV 记录排查（_ldap._tcp）
客户端找域控靠 DNS SRV 记录：用 nslookup 手工查 _ldap._tcp.dc._msdcs 与 _kerberos._tcp，验证域控是否被正确注册。
场景：时间偏差导致域认证失败
Kerberos 默认容忍 5 分钟时间偏差：客户端与域控差超限即报“安全数据库/时间”错误；先对齐时间再谈其他。
dsget user 读取用户属性
把 DN 送进 dsget 读出账号明细：显示名、部门、电话、邮件、禁用状态；排障与信息核对常用。
AD 回收站找回误删对象
启用了 AD 回收站的域可以原地还原已删用户/组/OU：先查是否启用，再 Restore-ADObject 到目标位置。
安全筛选与 WMI 过滤
限缩 GPO 作用对象：安全筛选改“已应用组”的 ACL；WMI 过滤按条件（如机型、OS 版本）动态圈定范围。
dsquery 清理陈旧计算机对象
dsquery computer -inactive 找长期未登录的计算机账号：删前核对资产台账，处理脚本先跑 -limit 与人工清单。
LDAP 过滤语法速记（给 -LDAPFilter 用）
&(与) |(或) !(非)、属性运算符 =、>=、<=、=*：写 -LDAPFilter 时常用组合示例与括号陷阱。
环回处理（Loopback）与特殊场景
环回让计算机位置决定用户策略：合并模式叠加用户所在 OU 策略，替换模式只认计算机路径下的用户设置；RDS/跳板机必备。
刷新周期与慢速链接行为
默认后台刷新 90 分钟±0-30 分钟随机；DC 为 5 分钟；慢速链接（按 500 Kbps 阈判断）会抑制部分扩展。
netdom 查看信任与加域信息
netdom query 查看域控/FSMO/信任：换域、建信任、排“信任关系失败”时的基础工具。
AD 站点与子网概念（排障向）
站点让客户端就近选择域控：子网未定义会让跨站认证/复制变慢；站点链接成本决定复制路径。
日志与事件
事件查看器、wevtutil 与日志分析
场景：机器凌晨重启了，怎么查原因
先分辨“计划内还是意外”：1074 有计划关机记录，6006 是干净关机，6008 是意外断电/断电级崩溃，41 是内核电源异常；配合 6005 起机标记画时间线。
Get-WinEvent 基础查询
PowerShell 读日志的主力：-LogName 指定通道，-MaxEvents 限制条数，-Level 过滤级别；结果对象属性丰富。
4624 登录成功事件怎么看
安全日志里最常被查阅的事件：登录类型(Type)、账户、来源 IP/工作站、进程；排“谁登的、从哪来、怎么登的”。
4625 登录失败事件与排查
失败登录的完整答案页：失败原因码、登录类型、来源；排错“密码错误/账户锁定/爆破”全靠它。
事件查看器 GUI 与日志结构
图形化日志入口：三大经典日志（应用程序/安全/系统）+ 应用程序和服务日志（按组件、含 Operational 分析组），先定位通道再谈筛选。
FilterHashtable 高效过滤
服务端过滤比管道 Where 快：哈希表支持 LogName、ProviderName、Id、Level、StartTime/EndTime、Keywords 组合。
场景：服务启动失败排查（事件 ID 视角）
服务问题的日志四件套：7000/7009 超时、7024 依赖失败、7031/7034 崩溃与异常终止、7045 新服务注册；先看退出码再谈配置。
场景：识别暴力破解迹象
特征：短时间大量 4625（同账号或扫账号）、来源集中、伴随 4740 锁定；处置：封源、查暴露面、改策略。
场景：磁盘/文件系统报错（事件 ID）
磁盘类告警分级看：7/11/51 控制器与坏块、153 重试、55 NTFS 损坏、98 卷健康；出现即认真对待并尽快备份。
7045 新服务安装事件
系统日志里“有新服务/驱动被安装”的硬证据：服务名、映像路径、启动类型、账户；可疑驻留排查高频 ID。
1000/1001 应用崩溃与 WER 记录
应用崩溃两件套：1000 是应用错误（含故障模块），1001 是 Windows 错误报告；定位崩溃进程与模块的最快入口。
导出与归档事件日志（EVTX/CSV）
取证与移交要导出：wevtutil epl 导 EVTX（原始）、Get-WinEvent 结果转 CSV/JSON，同时记录导出时间与范围。
场景：谁最近登录过这台机器
先把 4624 按用户聚合成“最近登录榜”，再对可疑账号看类型与来源 IP：服务器非交互登录多，注意类型区分。
场景：发现可疑新服务/驱动
巡检组合：7045 新服务 + 4697 审计 + 服务签名与路径核查；路径在用户目录、Temp、缺引号的优先跟进。
列出日志通道与状态（Get-WinEvent -ListLog）
盘点系统里有哪些日志、多大、是否开启：排查“某日志没记录”先看通道是否被禁用或已满。
4732/4733/4728/4729 组成员变更
组加入/移除（本地组 4732/4733、全局组 4728/4729）：权限提升最常见路径，管理员组任何变动都要留痕。
4740 账户锁定事件
账户被锁的判定事件：含目标账户与“调用方计算机名”，锁定排查的起点就是它（见场景条目）。
auditpol 审计策略配置
默认安全日志并不记录全部内容：按需开启“登录/账户管理/对象访问”等子类审核，否则再查也没有数据。
wevtutil 命令行管理日志
日志的“总控台”：qe 查询、gl 列通道、sl 改配置、el 启用、epl 导出、cl 清理；脚本化运维必备。
场景：夜间无人时段活动巡检
无人时段出现登录、服务注册、计划任务、共享访问就该问为什么：汇总四类事件拼出“夜里发生了什么”。
4648 显式凭据登录
用另一套凭据运行（runas/映射盘/凭据切换）会记录 4648：排查“谁用特权账户连了哪里”的关键线索。
1102 审计日志被清除
安全日志被清空会留下 1102：这是安全事件本身；正常运维不该出现，出现即需调查与上报。
事件级别与筛选语义
五级语义：严重(1)/错误(2)/警告(3)/信息(4)/详细(5)；巡检通常 1-2，容量排查加 3，复现问题临时开 5/分析日志。
常用日志通道速查清单
日常巡检最常用的通道：System/Application/Security/Setup + PowerShell/GroupPolicy/TaskScheduler/BITS/WindowsUpdate/DeviceSetupManager。
4634/4647 注销与会话结束
会话结束两种事件：4634 表示登录会话被销毁、4647 表示用户主动注销；会话时长审计与异常登录排查用它们配对 4624。
4720/4726 账户创建与删除
域或本机账户被创建/删除（4720/4722? 4720 创建、4726 删除）：变更审计与人效核查的第一手证据。
日志大小与滚动策略配置
默认 20MB 对高事件量主机远远不够：按通道调大小（wevtutil sl /ms）或 GPO 统一配置，并规划集中收集。
4768/4771 Kerberos 票据事件
Kerberos 认证两件套：4768 TGT 请求（含失败码）、4771 预认证失败；排“时间/密码/SPN”类认证问题。
事件提供程序查询（-ListProvider）
查某个组件会往哪些通道写日志、有哪些事件 ID 定义：设计巡检脚本时先摸清提供程序与 ID 清单。
wevtutil qe 查询语法
命令行查询事件：/q 用 XPath 过滤、/rd 反向(最新优先)、/c 条数、/f 输出格式（text/xml/json）。
读取安全日志的权限要求
安全日志默认仅 SYSTEM 与管理员可读；服务账户/审计工具读取需要“管理审核和安全日志”特权与正确身份。
事件对象结构与字段提取
Get-WinEvent 的 Properties 数组按事件模板顺序排列：提取登录账号、进程名等要看 XML 定义；SystemXml 提供元数据。
4672 特殊特权分配
登录会话获得敏感特权（SeDebug、SeBackup 等）时记录 4672：管理员登录几乎必产，用于跟踪特权使用面。
4738 账户属性修改
账户被改属性（含某些密码相关操作）的记录：字段多且易被忽略，配合同期 4723/4724（改密）一起看才算完整。
Sysmon 事件 ID 速查（增强审计）
Sysmon 补上原生日志的盲区：进程创建(1)、网络连接(3)、驱动加载(6)、镜像加载(7)、注册表持久化(12/13/14)，安全排查标配增强。
清理事件日志的正确姿势与合规注意
清理是审计敏感操作：Clear-EventLog/wevtutil cl 会留 104 日志被清空记录（Security 通道）；生产环境禁止随手清。
自定义视图与 XML 过滤
事件查看器“创建自定义视图”可保存常用过滤 XML，导出后分发复用；等价于把巡检条件固化成资产。
Windows 事件转发（WEF）简述
把多台机器日志汇到收集器：源机订阅（源启动订阅）+ 收集器配置；是原生集中日志方案，配合 WEC 使用。
远程管理
WinRM、RDP、远程执行与文件传输
Invoke-Command 批量远程执行
最常用的远程执行：-ComputerName 列表批量跑脚本块、-FilePath 跑脚本文件、-ArgumentList 传参，结果自带 PSComputerName。
winrm quickconfig 启用 WinRM
让本机可被远程管理的第一步：创建监听、配置防火墙例外、启动 WinRM 服务；域环境默认就绪，工作组需确认。
启用远程桌面（RDP）
三步：注册表开 RDP 与 NLA、放行防火墙、把用户加入 Remote Desktop Users；Server 与客户端命令略有差异。
Enable-PSRemoting 启用 PowerShell 远程
PowerShell 远程的能力开关：确保 WinRM 服务运行、注册会话配置并打开例外；-SkipNetworkProfileCheck 供特殊场景。
场景：RDP 连不上排查（五步）
按层排查：网络可达→端口监听→防火墙→服务状态→认证/授权；报错文案不同指向不同层，逐层留证据。
Enter-PSSession 交互式远程
临时进远程 shell：加载远程会话环境，适合人工排查；生产脚本用 Invoke-Command 而不是交互式会话。
场景：Enter-PSSession 连不上排查
五层排查：解析（DNS/名称）→端口（5985/5986）→服务（WinRM 状态）→信任（TrustedHosts/域）→认证（凭据/策略），逐层留证据。
New-PSSession 会话复用
为批量操作建立复用会话：连接建立一次多次执行，大幅降低认证与握手开销；用完 Remove-PSSession 释放。
场景：跨网段/跨公网的远程管理通道怎么选
不能直连又不许暴露端口的远程管理需求：按 VPN > 堡垒机 > SSH 隧道 > 裸 WinRM/RDP 的优先级选通道。
远程执行中的凭据传递
-Credential 传凭据对象（Get-Credential / 安全字符串）；脚本中禁止明文密码，用凭据文件（Import-Clixml）要配合 DPAPI 加密与权限保护。
Test-WSMan 与 WinRM 连接排错
排 WinRM 连不通：先 Test-WSMan 分层验证（本地/远程/SSL），再看服务、监听、防火墙与策略四件套。
mstsc 客户端常用参数
mstsc 参数速查：/v 目标、/admin 管理会话、/f 全屏、/multimon 多显示器、/span 跨屏；排查时用 /admin 会新建管理会话。
PowerShell Remoting over SSH
用 SSH 替代 WinRM 跑 PowerShell Remoting：跨平台、跨网段、不依赖域信任，适合 Linux/macOS 与 Windows 混合环境。
TrustedHosts：工作组场景远程
非域机器之间 PSRemoting 需要把对端加入 TrustedHosts（或改用证书/HTTPS）：这是认证信任的妥协方案。
Copy-Item -ToSession 远程传文件
纯 PowerShell 方案：建 PSSession 后用 Copy-Item -ToSession/-FromSession 双向传输，走 WinRM 通道无需 SMB。
管理共享（ADMIN$/C$）与 robocopy 远程拷贝
\\host\C$ 访问远端系统盘、ADMIN$ 访问 System32：不改共享配置就能远程传文件，配合 robocopy 做镜像同步。
远程重启与回线确认
批量重启、补丁后重启、坏机强重启：Restart-Computer / shutdown /m，重启后必须自己确认“回线”。
WinRM HTTPS 监听配置（证书）
把 WinRM 从明文 5985 切到 TLS 5986：申请/导入证书→创建 HTTPS 监听→防火墙放行；跨公网/不可信网络必配。
RDP 网络级认证（NLA）与安全层
NLA 让连接在建立会话前先认证：挡掉大量爆破与资源消耗；RDP 安全层用 TLS，自签证书会提示警告。
会话管理（qwinsta / rwinsta / tscon）
服务器会话三件套：qwinsta 列会话、rwinsta 重置卡死会话、tscon 接管/切换会话；排查“会话满/黑屏卡死”。
PsExec 远程执行（Sysinternals）
Sysinternals 工具集里的“瑞士军刀”：拷程序到远端执行、以 SYSTEM 身份运行、批量多机操作，不依赖 WinRM。
CIM/WMI 远程查询（New-CimSession）
查远端硬件、服务、磁盘全走 CIM：建会话一次多次查询；WinRM 不通时能退回 DCOM 协议。
批量并发执行与限流
Invoke-Command 并发受 ThrottleLimit 控制；本机并行任务用 ForEach-Object -Parallel（PowerShell 7+）；都需要控制对目标的压力。
winrs：WinRM 命令行客户端
不建 PowerShell 会话就能远程执行 CMD 命令：winrs -r:host 命令，适合脚本最简调用与快速验证 WinRM 链路。
RDP 影子会话（远程协助/旁观）
管理员影子在线 RDP 会话：只旁观（/shadow）或接管控制（/control），不挤掉用户、不新开会话。
双跳问题与 CredSSP/委派
跳板机→服务器A→服务器B 的“双跳”会让第二跳丢失委派凭据：方案有 CredSSP、Kerberos 约束委派、或逐跳建会话。
修改 RDP 端口与注意事项
改端口只是降噪不是安全：改注册表两处 PortNumber + 防火墙放行新端口；安全依赖还是 NLA/MFA/网关。
安装 RSAT（远程管理工具）
把 AD/组策略/集群等管理单元装到自己的管理机上：客户端用按需功能，Server 用 Windows 功能名。
读取远程注册表
不改远端机制读取 HKLM：reg query 一行搞定，或 PowerShell OpenRemoteBaseKey 做程序化读取。
wevtutil 远程日志查询与导出
不进事件查看器图形界面也能拉日志：wevtutil qe/epl 加 /r: 直连远端，适合批量收集与封存现场。
PSSession 清理与断链处理
WinRM 会话会占远端资源：断链会话要么 Disconnect/Connect 复用、要么 Remove 清理，避免撞配额。
winrm get/config 查看与调整配置
通过 winrm 命令行查看/调整服务端配置：认证方式、端口、MaxEnvelopeSize 等；排错时先读现状再改。
MMC 远程连接（服务/事件/计算机管理）
图形化远程维护：services.msc、eventvwr.msc、compmgmt.msc 都能“连接到另一台计算机”，排障直观。
scp/sftp 传输（Windows 自带 OpenSSH）
Windows 10/Server 2019+ 自带 OpenSSH 客户端：scp 传文件、sftp 交互传，脚本化比 SMB 更中立。
PSSessionOption 超时与连接选项
远程连接卡顿时：用 New-PSSessionOption 调整 Open/Idle/Cancel 超时与编码，适配慢链路与不可达节点。
msg 远程通知（重启/维护提醒）
给远端会话发弹窗：维护窗口前通知在线用户保存工作；msg 系统自带、零依赖。