agent-skills：面向CLI开发者的可测试、可组合命令行能力单元
2026/10/18 21:36:40
写第二篇学习日记的时候，我心里很清楚一件事：大部分想入门网络安全的人，不是被漏洞利用难倒的，而是被一串看不懂的IP地址、端口号和数据包劝退的。所以这一篇我决定不急着聊漏洞、不聊攻击手法，先把计算机网络基础这件事认真过一遍——但不是在教室里，而是站在Windows这台“每天都在用的机器”前面去理解它。它会告诉你数据怎么出去、怎么回来、在哪一层出了问题，以及你手里的各种安全工具到底在观察什么。如果你属于刚转行、自学安全、或者会配网但说不清原理的那类人，这篇就是给你打地基的。地基牢不牢，后面盖的楼完全是两个档次。
1. 为什么学网络安全先啃网络基础
1.1 你看到的“攻击现场”其实是协议交互现场
我见过不少新手的共同状态：装好一套虚拟机，打开某个靶场环境，看到告警日志里全是IP和端口，但完全不知道它们在说什么。这不怪大家，因为安全分析这件事，本质上就是“观察两台机器之间按什么规则说话”。所谓攻击，只是有人把正常的协议交互过程玩出了花样。
举个例子，你查一个可疑进程的网络连接，输出里会看到类似192.168.1.101:51234 -> 203.0.113.5:443这样一行。如果你不懂TCP/IP基础，这一行在你眼里就是“一串数字”。但如果你知道443是HTTPS服务的默认端口、知道客户端源端口是随机高位端口、知道这条ESTABLISHED状态意味着握手已经完成，你就能立刻判断：这个进程正在和外网某台服务器保持一条加密通信隧道。顺着这条线索再查进程路径、启动参数、父进程，恶意行为的全貌才有机会浮出来。
网络基础教你的不是“背下来哪个端口对应什么服务”，而是一种翻译能力：把网络上发生的每一件小事，翻译成“哪台机器、通过什么协议、在什么状态下、和谁通信”。没有这套翻译能力，后面学防火墙策略、学入侵检测规则、学流量分析，全都像是在看没有字幕的外语片。
1.2 学习路线常见岔路：我见过太多人绕远路
在我接触过的学习者里，有一条特别典型的弯路：一开始就下载各种扫描、爆破类工具，照着教程打一圈靶机，觉得自己“会渗透了”。可一旦遇到现实问题——比如公司内网断断续续地丢包、某个服务端口开放但连不上、抓包文件打开全是红红绿绿的帧——就完全抓瞎。原因很简单，工具只是执行者，不懂网络模型的人连工具该用在哪一层都不知道。
反过来说，如果先把网络基础学扎实，哪怕你只会几条Windows命令，面对故障时也能快速定位：先ping网关判断链路通不通，再用pathping看哪一跳丢包，然后用nslookup检查域名解析，逐步缩小范围。这个能力不是某个工具给的，而是你对“数据包从本机出发后每一站发生了什么”有画面感之后自然长出来的。
所以我的建议很直接：在 Windows 上学习安全，网络基础不该被当成一门理论课去啃，而应该当成一本“地图册”来用。你把每一条命令、每一次抓包都对照着五层模型想一遍，很快就会发现，以前看教程时那些“为什么先这样再那样”的疑问，一大半都会自己解开。
2. TCP/IP分层模型：真正带你入门不走偏的底层地图
2.1 五层模型在Windows排障中的实际意义
谈到网络基础，绕不开OSI七层模型和TCP/IP四层模型之争。我的看法很务实：作为安全学习者，你只需要把“应用层、传输层、网络层、链路层”这四层烂熟于心，再额外记住物理层的存在就够了。与其强行记七层，不如用五层简化模型去对照实际问题，这才划算。
为了让你在后续排障中看得更清楚，我把每一层的角色和典型安全关注点放在一起：
| 层次 | 主要职责 | Windows里你能看到什么 | 安全上关心什么 |
|---|---|---|---|
| 应用层 | 为具体应用提供数据格式和交互规则 | HTTP请求、DNS查询、FTP会话 | 应用漏洞、明文数据泄露、恶意请求 |
| 传输层 | 建立端到端连接，负责可靠传输 | TCP/UDP端口、连接状态 | 端口扫描、连接洪泛、会话劫持 |
| 网络层 | 寻址和路由，决定数据包去哪儿 | IP地址、路由表、TTL | IP欺骗、路由劫持、异常流量 |
| 链路层 | 相邻设备间的数据帧传输 | MAC地址、ARP解析、网卡信息 | ARP欺骗、MAC泛洪 |
| 物理层 | 传输比特流 | 网线、Wi-Fi信号、接口状态 | 信号干扰、物理接入风险 |
这张表不是让你背的，而是让你在遇到问题时先问一句：这个问题发生在哪一层？比如网页打不开，可能是应用层服务挂了，可能是传输层端口不通，也可能是网络层路由不可达。你把层级分清楚，排查范围立刻就缩小了。
2.2 封装与解封装：一次网页请求的“盒子旅行”
网络通信里最容易让人困惑的概念就是封装。我常用寄快递来打比方：你要寄一本书，不会直接把它们塞进货车，而是先把书写好放进信封，信封上写收件人地址，再把信封放进快递袋，快递袋上贴快递单，最后搬上货车。数据在网络里走的过程完全一样。
打开浏览器访问一个网址时，应用层生成HTTP请求数据，相当于“写好信纸”；传输层把这份数据分成合适大小的段并加上TCP端口号，相当于“装进信封”；网络层给每个段加上源IP和目标IP，相当于“填上收发地址”；链路层再把整个IP数据报封装成帧，写上MAC地址，相当于“贴上快递单号”。每一层只理解自己该理解的那部分装填内容，下一层对上一层的内容不拆开看。
这个特性对安全有特别重要的意义：防火墙可以只看IP和端口来决定放行与否，却不知道内层数据是什么内容；入侵检测系统可能只解到应用层，就会漏掉藏在其他层里的异常。反过来，你未来学习流量分析时，看到某个数据包的完整结构，能一眼看出每一层的边界在哪里，就知道该从哪一段提取什么字段做判断。Windows自带的ping、tracert这些工具，其实就是利用不同层次的协议行为来探路。
2.3 TCP三次握手连着抓包理解，才算学过网络基础
很多人把三次握手背得滚瓜烂熟：SYN、SYN+ACK、ACK。但如果你问他们，为什么抓包里有时只有两次报文？为什么连接建立后会出现乱序？他们就开始含糊了。我自己的经验是，抓包看三次握手是要配合时序来理解的：客户端先发SYN，服务端回SYN+ACK，客户端再回ACK，第三个包一发出，连接进入ESTABLISHED状态。
在Windows的命令行里，你可以用netstat -ano看到连接状态变化。主动连接外网某个服务时，会看到状态从SYN_SENT变成ESTABLISHED，这个变化背后就是三次握手的完成。如果你在抓包里看不到那个带ACK标志的第三次握手，往往是因为抓包过滤器没配对，或者连接复用导致后续请求没有再建立新连接。
需要注意一个细节：TCP头里的TCP Flags字段（SYN、ACK、FIN、RST等）是排障的“状态指示灯”。比如正常的连接关闭会经历FIN交互；如果看到的却是RST重置，说明某一边程序直接终止了连接。RST在安全分析中很常见——端口不存在、服务崩溃、或者被防火墙拦截时都会出现。学会从连包状态判断“这条连接是正常结束的还是被强制中断的”，是网络基础里特别有价值的一课。
3. Windows下搭建自己的网络实验室
3.1 环境选型：虚拟机加快照，多搞几个“靶机”也不怕
学习网络基础不一定需要真机环境，但我强烈建议你至少准备一台虚拟机和一套抓包工具。为什么强调虚拟机？两个原因：一是有快照功能，配置改坏了、抓包实验搞乱了，一键还原；二是可以在同一台物理机上模拟多台设备，比如一台装Windows当客户端、一台装Linux当服务端，中间用虚拟网络把它们连起来，这种“多机拓扑”在理解路由和NAT时特别直观。
搭建步骤不复杂：装好虚拟机软件后，新建一台Windows虚拟机，网络模式建议选择NAT模式，这样虚拟机能通过宿主机上网，也能和你物理机通信。为了后续不把实验环境搞脏，装完基础系统后立刻打一个快照，命名成“干净基底”。以后做的每一次实验都在这个基底上分叉，练完就回滚，非常省心。
抓包工具方面，用你习惯的、信任的开源工具即可。我第一次用抓包工具时也对着满屏数据懵了好一会儿，后来总结出一个笨办法：先抓本机到本机的回环流量，再抓虚拟机之间的流量，最后再抓访问公网网站的流量。由简到繁地看，你才能认出哪些包是干什么的。
3.2 抓包实操：从无到有看一次TCP会话
这一节我们做一个最简单的实验：打开抓包工具，然后在Windows命令行里执行一条命令去访问某个网站，比如ping一个不存在的域名来制造DNS查询流量，或者用浏览器打开一个普通页面。不过要看清TCP握手，我更推荐用命令行工具，因为它不会像浏览器那样并发一堆连接，看起来很干净。
你可以这样操作：
curl http://example.com在抓包工具里设置过滤条件：
tcp.flags.syn == 1 || tcp.flags.syn == 1 && tcp.flags.ack == 1然后观察输出。你会看到非常清晰的三个阶段：第一行是客户端发往服务器的SYN，第二行是服务器回应的SYN+ACK，第三行是客户端确认的ACK。这三条报文出现后，接着就是HTTP请求和响应数据。如果你抓的是HTTPS流量，会发现HTTP层是加密的，但TCP握手依然明文可见，这就解释了为什么即使加密通信，元数据（谁在什么时候跟谁建立了连接）依然可以被观测到。
再进一步，把过滤条件改成：
tcp.flags.reset == 1然后故意去访问一个本机没有开启的端口，比如：
curl http://127.0.0.1:9999对方主机会立刻回一个RST包。你亲眼看到这个过程后，以后再看到日志里的RST，就不会一筹莫展。
3.3 Windows网络命令行工具实战对照表
Windows自带了一批网络诊断命令，学会它们等于有了一个不依赖第三方工具的随身工具箱。我不建议死记，而是建议你按场景去用，用熟了自然记得住。
| 命令 | 用途 | 典型场景 |
|---|---|---|
ipconfig /all | 查看本机IP、网关、DNS、MAC等完整配置 | 确认IP地址和DNS配置是否有误 |
ping | 测试到目标主机的连通性和时延 | 判断链路通不通、目标是否在线 |
pathping | 逐步跟踪路径并统计每跳丢包率 | 定位网络中转设备丢包位置 |
tracert -d | 打印到达目标经过的路由节点 | 查看路径是否绕远或中断 |
nslookup | 查询域名解析结果 | 判断DNS解析是否正确 |
route print | 查看本机路由表 | 判断数据包下一跳该去往何处 |
netstat -ano | 查看端口监听、连接状态和占用PID | 查找可疑的网络连接 |
这里重点说route print。路由表是Windows决定数据包“走哪条路”的决策依据：如果目标IP在某个直连网段内，就直接发给对应网卡；如果不在，就按最长前缀匹配找一条路由条目，把包交给条目指定的网关。很多“网络能上QQ但网页打不开”这类奇怪问题，根源都在路由表上多了一条不合理的条目。用route print看一眼0.0.0.0开头的默认路由的网关对不对，往往比瞎改DNS要快得多。
4. 以安全视角看常见协议与网络设施
4.1 端口与套接字：攻击面的人口统计
端口是网络基础里一个绕不开的关键点。TCP和UDP都靠端口号区分同一台主机上的不同服务：HTTP走80，HTTPS走443，DNS走53，SSH走22。端口本身没有高低贵贱之分，但从安全角度看，一台Windows机器上开放了哪些端口，就等于告诉别人它上面跑着哪些服务，而每个服务都是一个潜在攻击面。
你用netstat -ano查出某个端口被占用后，接下来要做的是去任务管理器里找到对应PID对应的进程，判断这个进程是不是合法的。熟悉这套流程之后，你就拥有了一种“人口统计”的视角：一个系统暴露得越多，就越需要关注。我自己习惯画一张小表：端口号、协议、对应进程、是否为系统服务、是否应该对外暴露。把这张表记熟，后面分析木马连接、后门端口时就能快速对比出异常。
需要强调的是，端口扫描本身是一个中性动作。你在授权环境下、在自己的实验网络里扫描自己机器开放了哪些端口，是合理的安全自检。但请务必注意：对不属于你的网络和主机做扫描测试，既违反规定也可能触碰法律红线。我见过不止一个新手因为好奇心越界，把学习路走成了事故路。
4.2 高危明文协议清单与替换思路
网络基础学得越深，越会意识到一件事：很多历史悠久的协议设计时根本没考虑加密，如今仍然大量存在于内网和物联网设备里。作为安全学习者，至少要能识别出这些“明文裸奔”的协议：
| 协议 | 默认端口 | 传输内容 | 主要风险 |
|---|---|---|---|
| FTP | 21 | 文件数据、用户名密码 | 口令和文件内容明文传输 |
| Telnet | 23 | 远程终端会话 | 所有键盘输入和屏幕输出明文可见 |
| HTTP | 80 | Web请求与响应 | 表单、Cookie、正文全部可被中间人查看 |
| SMTP | 25 | 邮件传输 | 邮件正文和认证信息明文传递 |
| SNMP | 161/162 | 网络设备管理信息 | 默认团体字符串常被滥用于信息收集 |
学这些不是为了背协议漏洞，而是为了建立一种“看到某个服务，就下意识想到它是否安全”的本能。实际工作中，遇到老设备只支持Telnet，至少要做到只在内网隔离环境里用；遇到FTP服务，也要知道它只能用于内部文件交换，不能把敏感数据放上去。能识别风险，才是基础知识的价值所在。
4.3 家庭网络到企业网络：NAT、路由、防火墙各自的活儿
大多数人学网络基础时家里只有一个光猫加一台路由器，配置界面里写着“PPPoE拨号、DHCP、端口映射”这些词。理解这些词背后的设备和机制，对后续安全学习特别重要。
家庭路由器通常同时干好几件事：它是一台NAT设备，把内网的私有IP地址转换成公网IP再访问外网；它是一台路由设备，决定数据包走哪条链路；它还往往带一个简单防火墙，对入站连接做过滤。你在家里访问一个网站时，看到的源IP其实是路由器的公网地址，而不是你电脑上的192.168.x.x。这就是为什么抓包分析时，只要流量经过了NAT，就没办法单靠IP判断真正发起者的原因。
企业网络会比家庭复杂很多：内部会划分VLAN来隔离不同部门，边界会放真正的防火墙设备，核心交换机负责高速转发，有时候还有专门的入侵检测设备镜像流量来分析风险。不同规模网络的差异，其实是同一个分层模型的延伸。你先把家庭网络这个“小麻雀”解剖明白，再看企业网络就比较容易类比：不过是大号的交换、路由、NAT和访问控制，加上了更细的管理策略而已。
5. 常见问题与排查技巧实录
5.1 抓包看不到握手包的四个原因
很多新手第一次抓包时都会产生一个困惑：我明明访问了网站，为什么过滤后一条SYN都看不到？问题大多出在以下四个方面：
抓包工具的过滤器写错了。比如只写了
tcp.flags.syn == 1，但有些抓包工具里标志位字段名大小写有差异，或者需要写成tcp.flags == 0x002。建议先从无过滤器抓起，确认确实有流量，再逐步加过滤条件。抓错了网卡。如果你的机器同时有有线网卡、无线网卡和虚拟网卡，抓包时选的是没有流量经过的那一块，自然什么都看不到。正确做法是先
ipconfig确认当前路由使用的网卡，再有针对性地抓取。目标连接被复用。浏览器访问同一个域名时，会复用已有的长连接，不会再建立一次完整的TCP握手。想稳定观察握手过程，就换个新域名去访问，或者先用
netstat -ano看一下当前有没有已建立的连接。访问的是UDP服务。如果目标走的是UDP，比如查DNS，那就不存在握手过程。抓不到TCP SYN完全是正常现象。先把流量类型分清楚，再谈抓包结论。
每次抓不到东西时，我都会提醒自己：先核实“这条流量到底走没走我盯着的网卡”，再怀疑工具和环境。盲目调参数只会浪费时间。
5.2 “网络通但很慢”的排查顺序
“能上网，但网页卡到怀疑人生”是最常见的家用场景。这类问题不是单一原因造成的，排查时要按顺序来：
首先，ping网关地址，确认内部链路本身是否健康。这一步可以排除网线、Wi-Fi信号、路由器负载等本地因素。接着，nslookup一个域名，看解析是否缓慢或超时。很多时候网页慢不是传输慢，而是DNS解析被拖住了——解析过程费了好几秒，网页自然一直转圈。再往后，用pathping跟踪访问目标服务器的完整路径，看有没有中间节点丢包严重。如果丢包集中在你家路由器到运营商网关这一段，那通常就不是你设置能解决的问题了。
还有一个容易忽略的坑：Windows的自动代理设置。如果系统里残留了无效的代理配置，流量会先尝试连一个不存在的代理服务器，等超时后才绕过代理直连，这会让页面加载卡上十几秒。出现这种怪象时，记得检查代理设置是否被意外开启。
5.3 避坑清单与学习节奏建议
学网络基础的过程里，有几个坑我希望你提前绕开。
第一个坑是“只背不抓”。端口号、状态位背得再熟，不如亲手抓一次包记忆深刻。我的习惯是每学一个知识点，就设计一个小实验去验证它。比如学完DNS，就关掉本地DNS缓存再执行一次解析，看抓包里出现了什么；学完路由表，就断掉一条网线再观察数据包走向。
第二个坑是“乱跑命令”。在真实生产网络里跑大量诊断或扫描命令，轻则产生告警，重则影响业务。无论学得多投入，都要守住这个底线：你的所有实验只在自己的虚拟机或授权测试环境里做。
第三个坑是“追求大而全”。网络基础涉及的面非常广，不需要一次性把所有协议都啃完。我认为合理的节奏是：先掌握TCP/IP模型和TCP细节，再熟悉Windows常用网络命令，然后抓包看DNS和HTTP交互，最后逐步往更底层的ARP、路由协议延伸。一个阶段一个实验，走得慢但走得稳。
| 常见问题 | 初步判断思路 | 可用命令 |
|---|---|---|
| 网页偶尔打不开 | 检查DNS和链路稳定性 | nslookup、ping -t |
| 某台机器上不了网 | 检查DHCP拿到的IP和网关 | ipconfig /all |
| 连接远程端口失败 | 检查端口监听和防火墙状态 | netstat -ano |
| 网速忽快忽慢 | 检查无线信号和网关丢包 | pathping |
| 怀疑有进程外联 | 列出所有外部连接并核对PID | netstat -ano+任务管理器 |
整套思路其实归结为一句话：把问题映射回网络模型，再决定用什么工具看哪一层的数据。Windows给不了你“一键知道所有答案”的按钮，但这些基础命令组合起来，就是一套覆盖面很广的排障工具箱。
写到这里，我自己最大的体会是：网络基础不是用来看懂的，而是用来“验”懂的。看一页书不如敲一条命令，敲一条命令不如抓一次包，抓一次包不如拿着包里每一行去和协议规范对照一遍。你可能一开始觉得慢，但过了这个阶段，再回头看那些漏洞分析文章、流量告警日志，会有一种“原来是这么回事”的通透感。这套功底不会白打，后面的路全靠它托着走。