首页 ›网络安全› 安全运维 › 查看内容

Windows系统入侵排查与应急响应技术

2024-4-29 19:41 2620 0

摘要: 文章目录前言入侵排查系统账户排查进程端口排查启动项的排查计划服务排查系统信息排查日志信息排查应急工具总结入侵排查系统账户排查查看系统是否存在可疑账号，黑客入侵的时候常常喜欢创建隐藏账号。1、使用net use ...

关键词： 排查查看系统进程连接 http 命令是否日志 https

文章目录

前言
入侵排查

系统账户排查
进程端口排查
启动项的排查
计划服务排查
系统信息排查
日志信息排查

应急工具
总结

入侵排查

系统账户排查

查看系统是否存在可疑账号，黑客入侵的时候常常喜欢创建隐藏账号。

1、使用net user命令查看系统账户信息（但此方法不能查看到隐藏账号）：

2、进一步执行命令 net user xx查看 xx 用户详细信息，注意 guest 用户是否启用，很多情况下狡猾的红队并不会添加用户，而是启用 guest 用户：

3、执行命令net user hacker$ 123456 /add创建了一个隐藏的账号 hacker（账号名以$结尾的为隐藏账号），net user是查看不到隐藏账号的：

4、运行 Win+R--->lusrmgr.msc，通过本地用户和组的管理页面（或者“计算机管理”）的可以查看到隐藏账户：

尴尬……我的家庭版 Win10 不支持，那改用 Win10 专业版虚拟机：

5、删除可疑账户（net user hacker$ /del）：

进程端口排查

先汇总下相关命令：

netstat -ano   #查看所有网络连接及其PIDnetstat -ano | findstr 443  #过滤特定端口的网络连接netstat -ano | findstr TCP  #过滤TCP连接tasklist | findstr 18544    #查看PID为18544的进程taskkill /F /pid 18544      #强制结束进程

1、使用命令netstat -ano查看目前的网络连接，定位可疑的 ESTABLISHED 连接，执行结果里面的 443 端口的连接一般是浏览器正在访问网页，但是下面这个外网的 8001 端口的连接就不正常了：

实际上这里是我使用了 CS 的 Backdoor 在 Win10 虚拟机上运行后建立的网络连接（找到主机一个异常的对外连接，对不确认的 IP 可以去微步查看是否威胁情报）：

2、接下来使用tasklist | findstr 3232查找 PID=3232 的进程名称：

3、上面虽然找到进程名称，但是无法判断 Backdoor 文件的路径，故建议采用另一种方法，Windows+R+输入msinfo32，打开“系统信息功能”并依次点击“软件环境→正在运行任务”就可以查看到进程的详细信息，比如进程路径、进程 ID、文件创建日期、启动时间等：

4、最后应急处置，当然是杀死进程并删除 Backdoor 文件，执行命令taskkill /F /pid 3232：

启动项的排查

此项的目的是检查服务器是否有异常的启动项。

检查方法

1、单击【开始】>【运行】，输入 regedit，打开注册表，查看开机启动项是否正常，特别注意如下三个注册表项：

\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce

检查右侧是否有启动异常的项目，如有请删除，并建议安装杀毒软件进行病毒查杀，清除残留病毒或木马:

2、检查组策略，运行 gpedit.msc：

以上是开关机以及用户登录注销时会启动的脚本，注意查看里面是否存放了恶意脚本。

计划服务排查

1、访问“计算机管理”功能，查看“任务计划程序库”，查看是否存在可疑的计划任务：

2、另一种查看方法是，执行命令schtasks.exe，检查计算机与网络上的其它计算机之间的会话或计划任务，如有，则确认是否为正常连接：

系统信息排查

1、查看系统版本以及补丁信息，可执行命令systeminfo，查看系统信息：

2、排查当前用户最近打开文件，可以在文件管理器输入%userprofile%\recent，即可查看最近打开的文件：

日志信息排查

系统日志

1、Windows 的C:\Windows\System32\winevt\Logs路径下存放了系统各类日志文件：

2、双击选中 “Securuty” 安全事件日志文件，可进入事件查看器（另一种办法是 Win+R 打开运行，输入“eventvwr.msc”，回车运行，直接打开“事件查看器”）：

3、可导出应用程序日志、安全日志、系统日志，利用 Log Parser 工具（官网下载地址）进行分析：

LogParser 的一些用法：

基本查询结构Logparser.exe –i:EVT –o:DATAGRID "SELECT * FROM c:\xx.evtx"查询登录成功的所有事件LogParser.exe -i:EVT –o:DATAGRID  "SELECT *  FROM c:\Security.evtx where EventID=4624"查询登录失败的所有事件LogParser.exe -i:EVT –o:DATAGRID  "SELECT *  FROM c:\Security.evtx where EventID=4625"查询系统历史开关机记录LogParser.exe -i:EVT –o:DATAGRID "SELECT TimeGenerated,EventID,Message FROM c:\System.evtx where EventID=6005 or EventID=6006"

WEB 访问日志

1、分析方法：找到中间件的 web 日志，打包到本地方便进行分析。

2、推荐工具：Window 下，推荐用 EmEditor 进行日志分析，支持大文本，搜索效率还不错。Linux 下，使用 Shell 命令组合查询分析。

应急工具

1、病毒分析：

PCHunter：http://www.xuetr.com火绒剑：https://www.huorong.cnProcess Explorer：https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorerprocesshacker：https://processhacker.sourceforge.io/downloads.phpautoruns：https://docs.microsoft.com/en-us/sysinternals/downloads/autorunsOTL：https://www.bleepingcomputer.com/download/otl/

2、病毒查杀：

卡巴斯基（推荐理由：绿色版、最新病毒库）：http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe  大蜘蛛（推荐理由：扫描快、一次下载只能用1周，更新病毒库）：http://free.drweb.ru/download+cureit+free火绒安全软件：https://www.huorong.cn360杀毒：http://sd.360.cn/download_center.html

3、病毒动态：

CVERC-国家计算机病毒应急处理中心：http://www.cverc.org.cn微步在线威胁情报社区：https://x.threatbook.cn火绒安全论坛：http://bbs.huorong.cn/forum-59-1.html爱毒霸社区：http://bbs.duba.net腾讯电脑管家：http://bbs.guanjia.qq.com/forum-2-1.html

4、在线病毒扫描网站：

多引擎在线病毒扫描网 v1.02，当前支持 41 款杀毒引擎：http://www.virscan.org        腾讯哈勃分析系统:https://habo.qq.com          Jotti 恶意软件扫描系统:https://virusscan.jotti.org      针对计算机病毒、手机病毒、可疑文件等进行检测分析:http://www.scanvir.com

5、Webshell 查杀：

D盾_Web查杀：http://www.d99net.net/index.asp河马 webshell 查杀：http://www.shellpub.com深信服 Webshell 网站后门检测工具：http://edr.sangfor.com.cn/backdoor_detection.htmlSafe3：http://www.uusec.com/webshell.zip