导图社区 应急响应之Windows入侵排查(常规检查)
分享一些Windows系统排查的思路方法,以及相对应的一些工具。本脑图全面概述了Windows环境下进行入侵排查的一系列关键步骤和工具,旨在帮助系统管理员和安全专家快速定位并应对潜在的安全威胁。为Windows入侵排查提供了全面的指导和实用的工具推荐,是保障系统安全不可或缺的重要资源。
这是一篇关于DDos处置流程的思维导图,主要内容包括:防御措施,1事情状态判断,攻击方式,事件排查。为应对DDoS攻击提供了一个全面而系统的处理框架,旨在帮助用户快速识别攻击、分析影响并采取相应的应对策略。
这是一篇关于挖矿木马处置流程的思维导图,主要内容包括:4事件处置,5事件防御,3信息收集分析,2临时处置,1事情状态判断。本脑图详尽地概述了从安全设备告警的初步识别,到深入信息收集分析,再到紧急临时处置及最终事件加固与防御的全过程。每一步骤都旨在迅速定位威胁、切断传播途径、消除安全隐患,并构建长期的安全防护机制。
结合日常工作,分享一些关于勒索病毒事件的处置流程和相关的知识点。为大家提供了应对Windows系统勒索病毒事件的全面指导,也强调了日常防范与应急响应并重的重要性。
社区模板帮助中心,点此进入>>
论语孔子简单思维导图
《傅雷家书》思维导图
《童年》读书笔记
《茶馆》思维导图
《朝花夕拾》篇目思维导图
《昆虫记》思维导图
《安徒生童话》思维导图
《鲁滨逊漂流记》读书笔记
《这样读书就够了》读书笔记
妈妈必读:一张0-1岁孩子认知发展的精确时间表
Windows入侵排查
系统账号
是否有弱口令,远程管理端口是否对公网开放
打开 cmd 窗口,输入 lusrmgr.msc命令,查看是否有新增/可疑的账号
D盾_工具查看否存在隐藏账号、克隆账号
使用 query user 查看当前系统的会话,比如查看是否有人使用远程终端登录服务器
隐藏文件
内核木马可以隐藏文件,即使勾选显示选项也无效,需要使用PChunter这样的内核工具对抗
网络连接
端口
使用 netstat -ano 命令查看目前的网络连接,定位可疑的 ESTABLISHED
根据 netstat 命令定位出的 PID 编号,再通过 tasklist 命令进行进程定位 tasklist | findstr "PID"
进程
开始--运行--输入msinfo32,依次点击“软件环境→正在运行任务”就可以查看到进程的详细信息
D盾_web查杀工具,进程查看,关注没有签名信息的进程
微软官方提供的 Process Explorer 工具
运行输入 wmic ,cmd界面 输入 process,可查看对应进程及其路径
启动项
单击【开始】 >【所有程序】>【启动】,默认情况下此目录在是一个空目录,确认是否有非业务 程序在该目录下
开始菜单 >【运行】,输入 msconfig,查看是否存在命名异常的启动项目
【开始】>【运行】,输入 regedit,打开注 册表,查看开机启动项是否正常,特别注意如下三个注册表项:
HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce
计划任务
【开始】>【设置】>【控制面板】>【任务计划】,查看计划任务属性,便可以发现木马文件的路径
【开始】>【运行】;输入 cmd,然后输入at或者schtasks.exe,检查计算机与网络上的其它计算机之间的会话或计划任务
服务自启动
【开始】 >【运行】,输入services.msc,注意服务状态和启动类型
系统信息
【开始】 >【运行】,输入systeminfo,查看系统信息
查看环境变量的设置
temp变量的所在位置的内容;后缀映射PATHEXT是否包含有非windows的后缀;有没有增加其他的路径到PATH变量中(对用户变量和系统变量都要进行排查)
可疑目录及文件
各个盘下的temp(tmp)相关目录下查看有无异常文件 :Windows产生的临时文件
浏览器浏览痕迹、浏览器下载文件、浏览器cookie信息,根据不同浏览器进行排查
Recent是系统文件夹,里面存放着你最近使用的文档的快捷方式,查看用户recent相关文件
【开始】【运行】【%UserProfile%\Recent】
查看文件时间,创建时间、修改时间、访问时间,黑客通过菜刀类工具改变的是修改时间。所以如果修改时间在创建时间之前明显是可疑文件
搜索webshell 相关内容
findstr /m /i /s “eval” *.php (注意字符串编码格式)
系统日志
简介
记录操作系统组件产生的事件,主要包括驱动程序、系统组件和应用软件的崩溃以及数据丢失错误等。系统日志中记录 的时间类型由Windows NT/2000操作系统预先定义。
默认位置: %SystemRoot%\System32\winevt\Logs\System.evtx
应用程序日志
包含由应用程序或系统程序记录的事件,主要记录程序运行方面的事件
默认位置:%SystemRoot%\System32\Winevt\Logs\Application.evtx
安全日志
记录系统的安全审计事件,包含各种类型的登录日志、对象访问日志、进程追踪日志、特权使用、帐号管理、策略变更、系统事件。安全日志也是调查取证中最常用到的日志。
默认位置:%SystemRoot%\System32\Winevt\Logs\Security.evtx
查看
按 "Window+R" ,输入 ”eventvwr.msc“ 也可以直接进入“事件查看器”
在“开始”菜单上,依次指向“所有程序”、“管理工具”,然后单击“事件查看器”
排查工具
PCHunter
一款驱动器级的服务器维护专用工具,可以查看 Windows 的各种最底层系统软件信息,包含进程、驱动器控制模块、内核、内核勾子、网络层勾子、互联网、注册表文件、文档、开机启动项、系统软件杂类、电脑体检等
火绒剑
一款用于分析、处理程序的安全工具。它提供了“程序行为监控”、“进程管理”、“启动项管理”、“内核程序管理”、“钩子扫描”、“服务管理”、“驱动扫描”、“网络监控”、“文件管理”、“注册表管理”十大功能。
D盾
一句话免疫,主动后门拦截,SESSION保护,防WEB嗅探,防CC,防篡改,注入防御,防XSS,防提权,上传防御,未知0day防御,异 形脚本防御等等。 防止黑客入侵和提权,让服务器更安全。
Process Explorer
微软增强型任务管理器软件
HiBit Startup Manager
开机启动项管理工具
Autoruns
由 Sysinternals (微软的—部分)提供的免费工具,它可以显示 Windows 启动 时加载的所有程序、服务、驱动程序和其他自启动项。
Microsoft Network Monitor
一款轻量级网络协议数据分析工具
日志分析
Log Parser
可以分析基于文本的日志文件、 XML ⽂ 件、CSV (逗号分隔符)文件,以及操作系统的事件日志、注册表、文件系统、 Active Directory。它可以像使用 SQL 语句一样查询分析这些数据,甚至可以把分析结果以各种图表的形式展现出来
LogParser Lizard
GUI环境的Log Parser Lizard,其特点是比较易于使用,甚至不需要记忆繁琐的命令,只需要做好设置,写好基本的SQL语句,就可以直观的得到结果
Event Log Explorer
可用于查看,监视和分析跟事件记录,包括安全, 系统,应用程序和其他微软Windows 的记录被记载的事件,其强大的过滤功能可以快速的过滤出有价值的信息