Windows主机入侵排查
检查系统信息、用户账号信息
系统信息
● 查看系统版本以及补丁信息
systeminfo
用户账号信息
● 基本使用
○ 创建普通账号并加入administrarors 组
net user test 123456 /add
net localgroup administrators test /add
● 创建隐藏账号
net user test$ /add
● 创建克隆账户
- 进入注册表HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users
- Names目录下找到administrator,查看类型为1F4,对应上面的000001F4文件夹,将 000001F4导出,再将创建的用户对应的Names下的文件夹导出,对应的00000XXX文件夹 也导出,再将创建用户删除,再将导出的000001F4下的“F”的值复制到00000XXX里面替 换,然后双击打开导出的创建的用户的两个文件。net user 创建的用户名查看。
查看已登录账号
query user
查看可以账号
net user
查看隐藏账号
lusrmgr.msc
打开本地用户和组查看隐藏用户
查看克隆账号
● 使用wmic能查看所有账户 wmic useraccount get name,SID
● 打开注册表查看:HKEY_LOCAL_MACHINE\ SAM\SAM\Domains\Account\Users
结合日志,查看管理员登录时间、用户名是否存在异常。
- 打开运行,输入"eventvwr.msc",回车运行, 打开“事件查看器”。
- 导出 Windows 日志 -- 安全,利用微软官方工 具Log Parser 进行分析。 4624 --登录成功 4625 --登录失败 4634 -- 注销成功 4647 -- 用户启动的注销 4720 -- 创建用户 4672 -- 使用超级用户(如管理员)进行登录
检查异常端口、进程、服务
查看端口
查看开放端口
使用 netstat -ano
命令查看目前的网络连接, 定位可疑的 ESTABLISHED 已连接端口
查看目前已经建立TCP连接的端口
netstat -ano | findstr "ESTABLISHED"
根据端口查看进程
根据 netstat 命令定位出的 PID 编号,再通过 tasklist 命令进行 进程定位 tasklist | findstr "PID编号"
查看进程
查看所以进程列表
tasklist
查看进程对应的服务
tasklist /svc
查看进程调用的DLL文件
tasklist /m
查看进程对应的程序位置
wmic process where processid=6436 get processid,executablepath,name
#查看PID为6436对应的进程,进程对应的文件地址
工具
● 打开D盾_web查杀工具,进程查看,关注没有签名信息的进程。
● 通过微软官方提供的 Process Explorer 等工具进行排查 。
查看服务
打开运行输入services.msc
排查点
● 没有签名验证信息的进程
● 没有描述信息的进程
● 进程的属主
● 进程的路径是否合法
● CPU或内存资源占用长时间过高的进程
应急措施
通过进程名kill
taskkill /f /im cmd.exe /t
wmic process where name="mysqld.exe" delete
通过pid进行kill
taskkill /f /pid /t
ntsd -c q -p 3876
wmic process where processid=3876 call terminate
删除服务
sc delete
"服务名"
检查启动项、计划任务、服务自启动
查看启动项
【开始】查看启动项
【开始】>【所有程序】>【启动】,默认情况下 此目录在是一个空目录,确认是否有非业务程序 在该目录下。
【msconfig】查看启动项
【运行】,输入 msconfig,查看是否存在命 名异常的启动项目,是则取消勾选命名异常的启 动项目,并到命令中显示的路径删除文件。
【注册表】查看启动项(regedit)
特定用户登录时的启动项
HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\run
系统开机的启动项
HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\Run
仅启动一次的启动项(RunOnce)
HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\RunOnce
【组策略】查看启动脚本
运行 gpedit.msc
查看启动脚本
查看服务自启动
● services.msc,注意服务状态和启动类型,检查 是否有异常服务。
● 运行 compmgmt.msc打开计算机管理查看服务。
查看计划任务
● powershell下输入Get-ScheduledTask可查看 当前系统中所有任务计划的信息、
● compmgmt.msc查看计划任务
● schtasks查看任务计划
● at检查计算机与网络上的其它计算机之间的会话 或计划任务,如有,则确认是否为正常连接。
文件痕迹排查
敏感目录
● 用户目录-C盘-Windows-用户
● temp-各个盘下的temp目录
● 浏览器下载目录
● 回收站
入侵时间点前后文件
● forfiles命令查找攻击日期内新增文件
forfiles /m *.exe /d +2020/2/13 /s /p c:\ /c " cmd /c echo @path @fdate @ftime" 2>null #表示对2020/2/13日后创建的exe文件进行搜索
`
● 在各个盘下,可根据文件夹内文件列表时间进行 排序,查找可疑文件。
注册表分析
注册表含义
● HKEY_CLASSES_ROOT:包含所有已注册的文 件类型、OLE等信息
● HKEY_USERS:包含所有加载的用户配置文件
● HKEYCURRENT_USER:当前登录用户的配置文件
● HKEYCURRENT_CONFIG:启动时系统硬件配置文件
● HKEYLOCAL_MACHINE:配置信息,包括硬件 和软件设置
浏览器上网记录
HKEY_CURRENT_USER\Software\Microsoft\ Internet Explorer\TypedURLs
RDP服务(远程连接)
● HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Control\Terminal Server
● 直接用命令行查询
查询服务是否开启 键值为0:开启 键值为1:关闭
REG QUERY "HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlSet\Control\ Terminal Server" /v fDenyTSConnections
● 查询监听端口
REG QUERY "HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlSet\Control\ Terminal Server\WinStations\RDP-Tcp" /v PortNumber
Windows主机入侵排查的更多相关文章
- windows应急响应入侵排查思路
0x00 前言 当企业发生黑客入侵.系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解 ...
- 1.Windows入侵排查思路
0x00 前言 当企业发生黑客入侵.系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解决方 ...
- Linux应急响应入侵排查思路
0x00 前言 当企业发生黑客入侵.系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解 ...
- 6.【应急响应】Linux入侵排查思路
0x01 入侵排查思路 一.账号安全 基本使用: 1.用户信息文件/etc/passwd root:x:0:0:root:/root:/bin/bash account:password:UID:GI ...
- LINUX系统入侵排查
当企业发生黑客入侵.系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解决方案与防范措施,为 ...
- Linux应急响应入门——入侵排查
点击上方"开源Linux",选择"设为星标" 回复"学习"获取独家整理的学习资料! 账号安全: 1.用户信息文件 /etc/passwd # ...
- 主机入侵防御系统(HIPS)分析
主机入侵防御系统(Host Intrusion Prevent System,HIPS)是近几年出现并迅速发展的新兴产物,与传统意义的防火墙和杀毒软件不同,它并不具备特征码扫描和主动杀毒等功能,所以想 ...
- Windows主机与centOS虚拟机之间"ping不通"
为什么要遇到这个问题 这是我重新安装centOS7.5虚拟机之后遇到的问题——我需要安装一个SecureCRT工具,结果主机与虚拟机没有ping通. 在安装这个工具之前需要进行主机与虚拟机的相互pin ...
- 虚拟机和windows主机中的文件共享
22:54 2015/12/22 虚拟机和windows主机中的文件共享:特别推荐:我的一个老师特别推荐的方法:在windows安装SSH Secure File Transfer Client,直接 ...
随机推荐
- 小白2分钟学会Visual Studio将引用包打包到NuGet上
前言 之前我们说 10分钟学会Visual Studio将自己创建的类库打包到NuGet进行引用(net,net core,C#),过程有些许繁琐,并且需要有一定的基础. 怎么办呢,不慌,看法宝. 两 ...
- Python - typing 模块 —— Union
前言 typing 是在 python 3.5 才有的模块 前置学习 Python 类型提示:https://www.cnblogs.com/poloyy/p/15145380.html 常用类型提示 ...
- TCP超时重传、序列号、滑动窗口简介
文章目录 12 TCP:传输控制协议(初步) 12.1 引言 12.1.1 ARQ和重传 12.1.2 分组窗口和滑动窗口 12.1.3 变量窗口:流量控制和拥塞控制 12.1.4 变量窗口:设置重传 ...
- Reader字符输入流和InputStreamReader和FileReader
1.FileReader extends InputStreamReader extends Reader 其中,Reader字符输入流和InputStreamReader和FileReader为字 ...
- shell编程之免交互
目录: 一.Here Document 免交互 二.Expect 一.Here Document 免交互 使用I/O重定向的方式将命令列表提供给交互式程序或命令, 比如 ftp.cat 或 read ...
- json包中的Marshal&Unmarshal 文档译本
Marshal func Marshal(v interface{})([]byte, error) Marshal returns the JSON encoding of v. Marshal返回 ...
- WPF WPF中解决内存泄露的几点提示与解决方法
http://www.cnblogs.com/LastPropose/archive/2011/08/01/2124359.html 一直以来用WPF做一个项目,但是开发中途发现内存开销太大,用ANT ...
- vue2.0 前端框架
在正式开始先复习一下js基础.因为vue最通终也要操作这些元素,vue和以前学的js并不挂勾,他和传统的jquert 设计理念相反 ## js 数据类型 1 基本类型 number string ...
- Linux上安装服务器监视工具,名为pyDash。
pyDash – A Web Based Linux Performance Monitoring Tool 你可以通过以下命令来判断是否已安装: pip --version # Python2.x ...
- CSP-J 2021 游记
今年是本人第一次参加CSP组的竞赛. Day 0 晚上复习了几套初赛试卷,做到晚上十点多结束.其实暑假已经做过不少了. Day 1 早上继续复习noip历年真题,在洛谷有题上面自己做题,一向只能考十几 ...