0x00 前言

​ 当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解决方案与防范措施,为企业挽回或减少经济损失。

常见的应急响应事件分类:

web入侵:网页挂马、主页篡改、Webshell

系统入侵:病毒木马、勒索软件、远控后门

网络攻击:DDOS攻击、DNS劫持、ARP欺骗

针对常见的攻击事件,结合工作中应急响应事件分析和解决的方法,总结了一些Window服务器入侵排查的思路。

0x01 入侵排查思路

  • 一、检查系统账号安全

    • 1、查看服务器是否有弱口令,远程管理端口是否对公网开放。

      • 检查方法:据实际情况咨询相关服务器管理员。

    • 2、查看服务器是否存在可疑账号、新增账号。

      • 检查方法:打开 cmd 窗口,输入lusrmgr.msc命令,查看是否有新增/可疑的账号,如有管理员群组的(Administrators)里的新增账户,如有,请立即禁用或删除掉。

    • 3、查看服务器是否存在隐藏账号、克隆账号。

      • 检查方法:

        a、打开注册表 ,查看管理员对应键值。

        b、使用D盾_web查杀工具,集成了对克隆账号检测的功能。

    • 4、结合日志,查看管理员登录时间、用户名是否存在异常。

      • 检查方法:

        a、Win+R打开运行,输入“eventvwr.msc”,回车运行,打开“事件查看器”。

        b、导出Windows日志--安全,利用Log Parser进行分析。

  • 二、检查异常端口、进程

    • 1、检查端口连接情况,是否有远程连接、可疑连接。

      • 检查方法:

        a、netstat -ano 查看目前的网络连接,定位可疑的ESTABLISHED

        b、根据netstat 定位出的pid,再通过tasklist命令进行进程定位 tasklist | findstr “PID”

    • 2、进程

      • 检查方法:

        a、开始--运行--输入msinfo32,依次点击“软件环境→正在运行任务”就可以查看到进程的详细信息,比如进程路径、进程ID、文件创建日期、启动时间等。

        b、打开D盾_web查杀工具,进程查看,关注没有签名信息的进程。

        c、通过微软官方提供的 Process Explorer 等工具进行排查 。

        d、查看可疑的进程及其子进程。可以通过观察以下内容:

        没有签名验证信息的进程
        没有描述信息的进程
        进程的属主
        进程的路径是否合法
        CPU或内存资源占用长时间过高的进程
    • 3、小技巧:

      ​ a、查看端口对应的PID: netstat -ano | findstr “port”

      ​ b、查看进程对应的PID:任务管理器--查看--选择列--PID 或者 tasklist | findstr “PID”

      ​ c、查看进程对应的程序位置:

      ​ 任务管理器--选择对应进程--右键打开文件位置

      ​ 运行输入 wmic,cmd界面 输入 process

      ​ d、tasklist /svc 进程--PID--服务

      ​ e、查看Windows服务所对应的端口: %system%/system32/drivers/etc/services(一般%system%就是C:\Windows)

  • 三、检查启动项、计划任务、服务

    • 1、检查服务器是否有异常的启动项。

      • 检查方法:

      a、登录服务器,单击【开始】>【所有程序】>【启动】,默认情况下此目录在是一个空目录,确认是否有非业务程序在该目录下。b、单击开始菜单 >【运行】,输入 msconfig,查看是否存在命名异常的启动项目,是则取消勾选命名异常的启动项目,并到命令中显示的路径删除文件。c、单击【开始】>【运行】,输入 regedit,打开注册表,查看开机启动项是否正常,特别注意如下三个注册表项:HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\runHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce检查右侧是否有启动异常的项目,如有请删除,并建议安装杀毒软件进行病毒查杀,清除残留病毒或木马。

      d、利用安全软件查看启动项、开机时间管理等。

      e、组策略,运行gpedit.msc。

      2、检查计划任务

      • 检查方法:

      a、单击【开始】>【设置】>【控制面板】>【任务计划】,查看计划任务属性,便可以发现木马文件的路径。

      b、单击【开始】>【运行】;输入 cmd,然后输入at,检查计算机与网络上的其它计算机之间的会话或计划任务,如有,则确认是否为正常连接。

    • 3、服务自启动

      • 检查方法:单击【开始】>【运行】,输入services.msc,注意服务状态和启动类型,检查是否有异常服务。

  • 四、检查系统相关信息

    • 1、查看系统版本以及补丁信息

      • 检查方法:单击【开始】>【运行】,输入systeminfo,查看系统信息

    • 2、查找可疑目录及文件

      • 检查方法:

        a、 查看用户目录,新建账号会在这个目录生成一个用户目录,查看是否有新建用户目录。

        ​ Window 2003 C:\Documents and Settings

        ​ Window 2008R2 C:\Users\

        b、单击【开始】>【运行】,输入%UserProfile%\Recent,分析最近打开分析可疑文件。

        c、在服务器各个目录,可根据文件夹内文件列表时间进行排序,查找可疑文件。

  • 五、自动化查杀

    • 病毒查杀

      • 检查方法:下载安全软件,更新最新病毒库,进行全盘扫描。

    • webshell查杀

      • 检查方法:选择具体站点路径进行webshell查杀,建议使用两款webshell查杀工具同时查杀,可相互补充规则库的不足。

  • 六、日志分析

    • 系统日志

      • 分析方法:

        a、前提:开启审核策略,若日后系统出现故障、安全事故则可以查看系统的日志文件,排除故障,追查入侵者的信息等。

        b、Win+R打开运行,输入“eventvwr.msc”,回车运行,打开“事件查看器”。

        C、导出应用程序日志、安全日志、系统日志,利用Log Parser进行分析。

    • WEB访问日志

      • 分析方法:

        a、找到中间件的web日志,打包到本地方便进行分析。

        b、推荐工具:Window下,推荐用 EmEditor 进行日志分析,支持大文本,搜索效率还不错。

        ​ Linux下,使用Shell命令组合查询分析

0x03 工具篇

最后

欢迎关注个人微信公众号:Bypass--,每周原创一篇技术干货。 

参考链接:

https://cloud.tencent.com/document/product/296/9605

https://www.cnblogs.com/shellr00t/p/6943796.html

https://www.exehack.net/5106.html

windows应急响应入侵排查思路的更多相关文章

  1. Linux应急响应入侵排查思路

    0x00 前言 ​ 当企业发生黑客入侵.系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解 ...

  2. Linux应急响应--入侵排查

    1.入侵者可能会删除机器的日志信息,可以查看日志信息是否还存在或者是否被清空,相关命令示例: ll -h /var/log/*  系统日志一般都存在/var/log下常用的系统日志如下:核心启动日志: ...

  3. 6.【应急响应】Linux入侵排查思路

    0x01 入侵排查思路 一.账号安全 基本使用: 1.用户信息文件/etc/passwd root:x:0:0:root:/root:/bin/bash account:password:UID:GI ...

  4. 1.Windows入侵排查思路

    0x00 前言 当企业发生黑客入侵.系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解决方 ...

  5. 【命令汇总】Windows 应急响应

    日期:2019-06-07 16:11:49 作者:Bay0net 介绍:Windows 应急响应.取证及溯源相关内容学习记录 0x00.前言 常见的应急分类: web入侵:网页挂马.主页篡改.Web ...

  6. Windows应急响应常识

    Windows 应急响应 常见事件ID 1102 清理审计日志 4624 账号登陆成功 4625 账号登陆失败 4672 授予特殊权限 4720 创建用户 4726 删除用户 4728 将成员添加到启 ...

  7. Windows应急响应和系统加固(2)——Windows应急响应的命令使用和安全检查分析

    Windows应急响应的命令使用和安全检查分析 1.获取IP地址: ·ipconfig /all,获取Windows主机IP地址信息: ·ipconfig /release,释放网络IP位置: ·ip ...

  8. 【应急响应】Windows应急响应入门手册

    0x01 应急响应概述   首先我们来了解一下两个概念:应急响应和安全建设,这两者的区别就是应急响应是被动响应.安全建设是主动防御.  所谓有因才有果,既然是被动的,那么我们在应急响应的时候就得先了解 ...

  9. Windows应急响应操作手册

    查看表征异常 系统卡慢.宕机.CPU和内存占用高.网络拥塞或断网.磁盘空余空间无理由大幅度缩小等,根据以上表征,可以初步猜测系统面临的问题. windows 下查看系统基本信息 PS C:\Users ...

随机推荐

  1. 代码动态设置edittext输入类型为密码类型

    开发中常常会用到EditText输入框,要将他的输入类型设置为密码输入,但是直接在布局文件中设置时,hint字体风格就会不一样 例如,在布局文件中直接设置是这样的(如下图),字体风格明显跟上一行的不一 ...

  2. this小案例

    public class Son extends Parent { public String name="jack"; public void init(){ super.ini ...

  3. OSPF邻居状态机

    当OSPF邻居建立的过程之中,路由器在和邻居达到完全邻接关系之前,要经过几个状态.这些状态在OSPF RFC2328有相关的定义,这些状态分别是Down, Attempt, Init, 2-Way, ...

  4. 推荐vue.js、layer.js、axios.js

    都是很简单又很实用的东西. vue.js,前端双向绑定框架. layer.js,前端遮罩层框架.(layui的一部分,可单独使用) axios.js,异步请求框架,用起来比jQuery的ajax舒服一 ...

  5. Mac 下 Homebrew(类似CentOS下的yum)简介及安装

    Homebrew官网 http://brew.sh/index_zh-cn.html Homebrew是神马 linux系统有个让人蛋疼的通病,软件包依赖,好在当前主流的两大发行版本都自带了解决方案, ...

  6. (原创)Python文件与文件系统系列(3)——os.path模块

    os.path 模块实现了一些操作路径名字符串的函数,可以通过 import os.path 使用该模块,不过即使仅仅 import os 也可以使用该模块的方法. 1. abspath(path) ...

  7. 转载:AOP那点事

    原作者:黄勇 博客地址:https://my.oschina.net/huangyong/blog/161338 又是一个周末,刚给宝宝喂完牛奶,终于让她睡着了.所以现在我才能腾出手来,坐在电脑面前给 ...

  8. Ubuntu一般软件安装后的路径

    Ubuntu一般安装的软件查找路径: computer/usr/local/

  9. Linux学习笔记(一):文件操作命令

    命令 含义 cd / 切换到根目录 cd .. 上级目录 cd ./bin 到同级的bin目录中 cd bin 到同级的bin目录中 cd - usr文件夹 cd ~ 回到root用户的主文件夹 pw ...

  10. [AngularJS] tips技巧收集

     单个参数调用angular.module(),用来取得该模块而不是定义新的 这样就可以在不同的地方定义app的controller而不用通过全局变量 angular.module('myapp') ...