windows网络应急排查

一、系统排查

msinfo32 #GUI显示的系统信息systeminfo #简单了解系统信息

用户信息排查

排查恶意账号：

黑客喜欢建立相关账号用作远控:

1.建立新账号2.激活默认账号3.建立隐藏账号(windows中账号名+$)
cmd方法
net user #打印用户账号信息 ---看不到$结尾的隐藏账号net user username #查看具体账号信息
GUI方法

lusrmgr.msc #打开GUI的系统账号面板 可以GUI查看所有账号 包括隐藏账号！！！

注册表方法

打开注册表，选择HKEY_LOCAL_MACHINE --> SAM --SAM
右键 权限 ，将当前用户设置为可读写 ，然后F5刷新 ，

就能看到所有用户 ，根据这些信息来找到克隆账号
在这里插入图片描述
在这里插入图片描述

wmic方法

wmic useraccount get name,SID #查找系统中的用户信息 --有点类似UUID的账号唯一标识

启动项

  1. msconfig查看
    在这里插入图片描述
  2. 注册表查看

  • HKEY_CLASSES_ROOT (HKCR) 拖放规则，快捷方式，用户界面等

  • HKEY_CURRENT_USER (HKCU) 当前登录系统的用户配置，用户的文件夹，屏幕颜色，控制面板设置

  • HKEY_LOCAL_MACHINE(HKLM) 硬件信息，驱动器列表，已安装的硬件和应用程序的通用配置

  • HKEY_USERS(HKU) 所有用户配置文件的配置信息，用户配置和可视设置

  • HKEY_CURRENT_CONFIG(HCU) 系统当前配置的信息

计划任务

taskschd.msc #cmd看计划任务

Get-ScheduledTask #powershell看计划任务
在这里插入图片描述

schtasks #cmd查看详细计划任务

二.进程排查

异常进程排查

1. 任务管理器看进程 ，勾选PID和命令行

在这里插入图片描述

2. tasklist查看:

  • tasklist 显示进程

  • tasklist /svc 显示进程和服务的对应关系

  • tasklist /m ntdll.dll 查询进程和 dll调用的关系

  • tasklist /svc /fi "PID eq 992" 查询PID992的进程 和 服务的对应关系

3. netstat查看

网络状态:

  • LISTENING 侦听状态

  • ESTABLISHED #建立连接

  • CLOSE_WAID 对方主动关闭连接 或 连接中断

查看进程 对应的连接 ，最后一位是PID

netstat -ano | findstr "ESTABLISHED"

查到PID后，使用tasklist 定位PID对应的具体程序

tasklist | find "2856" #查询PID 2856对应的程序netstat -anb #快速定位到端口对应的程序

4. 使用powershell

排查子父进程之间的关系，包括进程名，PID，父进程PID，进程路径

Get-WmiObject WIN32_Process | select Name,ProcessId,ParentProcessId,Path

在这里插入图片描述

5.wmic查看

csv格式查看进程的名称， 父进程PID，子进程PID ,进程目录

wmic process get name ,parentprocessid,processid,ExecutablePath /format:csv

查找PID为808进程的 父进程的 PID

wmic process where processid=808 get parentprocessid

利用wmic process查询到进程之后，用下列命令删除恶意进程
删除名为qq.exe的进程

wmic process where name="qq.exe" call terminate

删除PID为888的进程

wmic process where processid=888 delete

三、服务排查

services.msc

四、文件痕迹排查

1.对恶意软件常用敏感目录排查2.对时间点前后的文件排查3.对带有特征的恶意软件排查，包括代码关键字，关键函数，文件权限特征等

1.敏感目录

  • 各个盘下temp (tmp)相关目录

  • 排查浏览器的历史记录，下载文件，cookie

  • 排查用户目录下的Recent文件 ， Recent文件存储最近运行文件的快捷方式

%appdata%\Microsoft\Windows\Recent #资源管理器输入，可查看最近使用的文件C:\Documents and Settings\Administrator（系统用户名）\RecentC:\Documents and Settings\Default User\Recent
  • 预读取文件夹查看,资源管理器打开，然后排查里面的文件
%SystemRoot%\Prefetch\
  • 利用amcache.hve文件查询应用程序的执行路径，上次执行的时间和SHA1值
    AmcacheParser软件可以分析amcache.hve文件，使用下面的命令找到文件
%SystemRoot%\appcompat\Programs\

2.时间点查找

  • cmd查找新增文件
    查找C:\目录下 2020年2月12日 后 新增的txt格式 的文件
forfiles /m *.txt /d +2020/2/12 /s /p c:\ /c "cmd /c echo @path @fdate @ftime" 2>null
  • GUI查找新增文件
    资源管理器目录中按照修改日期排序
  • 排查文件的创建时间，修改时间，访问时间
    攻击者会利用工具修改文件的创建时间，重点观察修改时间很早 ，而创建时间很晚 的文件，这种就是有逻辑错误的，被人修改过的文件

3.Webshell

网站防护是重点，webshell通常被用于攻击网站
对webshell的防护可以通过上述种种办法排查，还可以通过D盾，HwsKill，WebshellKill检测

五、日志分析

常见日志位置:

  • 系统日志的位置为 C:\WINDOWS\System32\config\SysEvent.evt；

  • 安全性日志的位置为 C:\WINDOWS\System32\config\SecEvent.evt；

  • 应用程序日志的位置为 C:\WINNT\System32\config\AppEvent.evt。

在 Windows Vista/Windows 7/Windows 8 /Windows 10/Windows Server 2008 及 以上版本系统中：

  • 系统日志的位置为%SystemRoot%\System32\Winevt\Logs\System.evtx；

  • 安全性日志的位置为%SystemRoot%\System32\Winevt\Logs\Security.evtx；

  • 应用程序日志的位置为%SystemRoot%\System32\Winevt\Logs\Application. evtx。

日志种类：

  1. 系统日志：是系统各个组件产生的日志，分为: 驱动，系统组件产生的问题，软件运行产生的问题。

包括重要数据的丢失，错误，系统崩溃行为等。

  1. 安全性日志: 记录安全事件

包括登录,退出系统的成功与失败， 对系统重要文件增删改查

  1. 应用程序日志: 记录软件产生的各种事件

在这里插入图片描述
eventvwr 事件查看器 ，可以看日志
在这里插入图片描述
在这里插入图片描述
登录日志事件的描述如下图，

当检查的时候，按照图就知道 登录信息是我们自身的正常操作， 还是坏人远程进来的危险操作了
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

日志分析

1.利用eventvwr 筛选

在这里插入图片描述

2.利用powershell

powershell管理员模式运行， 查找安全性日志下 ID4625的所有日志(如果要看其他日志就改改参数， 本质上和eventwvr面板操作一样的)

Get-WinEvent -FilterHashtable @{LogName='Security';ID='4625' }

在这里插入图片描述

3.用工具

  • Log Parser 微软官方日志分析工具：
    • Log Parser日志分析工具下载地址：https://link.zhihu.com/?target=https://www.microsoft.com/en-us/download/details.aspx?id=24659
    • 使用示例：https://link.zhihu.com/?target=https%3A//mlichtenberg.wordpress.com/2011/02/03/log-parser-rocks-more-than-50-examples/
      Log Parser由微软公司出品，其功能强大，使用简单，可以分析基于文本的日志文件、XML 文件、CSV（逗号分隔符）文件，以及Microsoft Windows操作系统的事件日志、注册表、文件系统、Active Directory。

除了微软这个以外，还有FullEventLogView （绿色免安装） ，Event Log Explorer可以查看日志

  • LogParser Lizard
    日志分析蜥蜴（LogParser Lizard）带图形界面，其内部封装有logParser命令，这使得操作更为简单，同时集成了
    Infragistics.UltraChart.Core.v4.3、Infragistics.Excel.v4.3.dll等，查询结果可以图表或EXCEL格式展示。与logParser一样，Log Parser Lizard可对服务器日志，网站日志等进行分析，支持基于文本的日志文件，XML文件等内容。
    日志分析蜥蜴下载地址：https://link.zhihu.com/?target=https%3A//lizard-labs.com/log_parser_lizard.aspx
    依赖包Framework 4 .5，下载地址：https://link.zhihu.com/?target=https%3A//www.microsoft.com/en-us/download/details.aspx%3Fid%3D42642
  • Event Log Explorer
    Event Log Explorer是一款非常好用的Windows日志分析工具。可用于查看，监视和分析跟事件记录，包括安全，系统，应用程序和其他微软Windows 的记录被记载的事件，其强大的过滤功能可以快速的过滤出有价值的信息。
    Event Log Explorer下载地址：https://link.zhihu.com/?target=https%3A//event-log-explorer.en.softonic.com/

六、内存分析

1．内存的获取 方法

内存的获取方法有如下几种：

  • 基于用户模式程序的内存获取；

  • 基于内核模式程序的内存获取；

  • 基于系统崩溃转储的内存获取；

  • 基于操作系统注入的内存获取；

  • 基于系统休眠文件的内存获取；

  • 基于虚拟化快照的内存获取；

  • 基于系统冷启动的内存获取；

  • 基于硬件的内存获取。

1）基于内核模式程序的内存获取

要借助相关的工具来完成，工具有 Dumpit、 Redline、RAM Capturer、FTK Imager 等
在这里插入图片描述
在这里插入图片描述

2）基于系统崩溃转储的内存获取 打开【系统属性】对话框，选择【高级】选项卡，单击【启动和故障恢复】 中的【设置】按钮，打开【启动和故障恢复】对话框，选择【核心内存转储】并 找到转储文件进行获取。

在这里插入图片描述

3）基于虚拟化快照的内存获取 这种获取方法是通过 VMware Workstation、ESXI 等虚拟化软件实现的。

VMware Workstation 在生成快照时会自动生成虚拟内存文件
在这里插入图片描述

2．内存的分析

1）Redline

在这里插入图片描述

2）Volatility

Volatility 是一个开源的内存取证工具，可以分析入侵攻击痕迹，包括网络 连接、进程、服务、驱动模块、DLL、handles、进程注入、cmd 历史命令、 IE 浏览器历史记录、启动项、用户、shimcache、userassist、部分 rootkit 隐 藏文件、cmdliner 等。

  • 使用volatility打开内存文件，排查内存文件的网络连接
volatility -f /root/desk/20230701.mem --profile=Win2008R2SP1x64 netscan

在这里插入图片描述

注意按照实际路径来 ，然后后面要跟着实际的操作系统名称

  • 使用volatility打开内存文件，排查内存文件的隐藏进程
volatility -f /root/desk/20230701.mem --profile=Win2008R2SP1x64 psxview
  • 使用volatility打开内存文件，排查隐藏或注入的代码,DLL
volatility -f /root/desk/20230701.mem --profile=Win2008R2SP1x64 malfind
  • 使用volatility打开内存文件，提取进程文件
volatility -f /root/desk/20230701.mem --profile=Win2008R2SP1x64 procdump
  • 使用volatility打开内存文件，提取PID为2476的进程文件
volatility -f /root/desk/20230701.mem --profile=Win2008R2SP1x64 procdump -p 2476 -D

可以分析内存中提取出的文件，从而判别文件是否有恶意行为。
最简单的方法是把提取出的文件上传到 virustotal 平台并进行扫描

六、流量分析

Wireshark

小框这里可以筛选
在这里插入图片描述

  • ip.addr ==ip #过滤IP

  • ip.src==ip #过滤源IP

直接输入 HTTP、HTTPS、SMTP、ARP 等协议进行筛选

使用【top.port== 端口号】或【udp.port == 端口号】命令，可对端口进行 过滤。使用【tcp.port == 445】命令对 445 端口进行过滤，

使用【tcp contains strings】命令，可对数据包中的关键字进行检索，对 流量中包含某一关键字的数据包进行筛选。使用【tcp contains baidu】命令筛选 baidu 关键字

工具：

SysinternalsSuite #微软官方出品的工具合集

PCHunter: 是一个强大的内核级监控工具，可以查看进程、驱动模块、内核、 网络、注册表、文件等信息

火绒剑： 同上

PowerTool 同上

Process Monitor ： 可以监控程序的各种操作，其中主要监控程序的文件系统、 注册表、进程、网络、分析。Event Log Explorer ：查看、监视和分析日志

FullEventLogView 是一个轻量级的日志检索工具，并可将事件导出为 text、csv、tab-delimited、html、xml 等格式文件

Log Parser :微软的日志查看工具

ThreatHunting 是观星实验室开发的工具，可以对日志、进程、Webshell 等进 行检测

WinPrefetchView 是一个预读文件（Prefetch 文件）查看器，用于读取储存在 系统中的预读文件，

WifiHistoryView 是一个自动读取系统里无线网络连接记录的工具，运行后可 以查看连接的时间、事件发生的类型、所用到的网卡、连接上的网络 SSID 名称、 加密类型等信息

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.xdnf.cn/news/1486953.html

如若内容造成侵权/违法违规/事实不符，请联系一条长河网进行投诉反馈，一经查实，立即删除！

相关文章

Linux - 进程的概念、状态、僵尸进程、孤儿进程及进程优先级

Linux - 进程的概念、状态、僵尸进程、孤儿进程及进程优先级

目录 进程基本概念 描述进程-PCB task_struct-PCB的一种 task_struct内容分类 查看进程 通过系统目录查看 通过ps命令查看 通过系统调用获取进程的PID和PPID 通过系统调用创建进程- fork初始 fork函数创建子进程 使用if进行分流 Linux进程状态 运行状态-R 浅度睡眠状态-S…
阅读更多...
Apache Filnk----入门

Apache Filnk----入门

文章目录 Flink 概述Flink 是什么有界流和无界流有状态流处理Flink 特点Flink vs SparkStreamingFlink 分层API Flink 快速上手WordCount 代码编写批处理流处理读取socket文本流 Flink 概述 Flink 是什么 有界流和无界流 无界数据流: 有定义流的开始，但没有定义流…
阅读更多...
ts一些解决vscode飘红的方法

ts一些解决vscode飘红的方法

1、查看是否有些ts的数据类型定义问题，属性缺少或者属性类型不对 把对应属性加上即可 2、在飘红的代码前面设置// ts-ignore忽略此行校验（不过一般不建议用这个方法） 3、移除高版本不用的属性（版本属性兼容问题） 原因…
阅读更多...
PP-Human行为识别（RTSP协议视频流实时检测）

PP-Human行为识别（RTSP协议视频流实时检测）

基于PaddleDetection本地实现PP-Human行为识别模块（RTSP协议视频流实时检测） 项目介绍环境准备1. Anaconda 创建环境2. 获取 PaddleDetection3. 获取 [MediaMTX](https://github.com/bluenviron/mediamtx/releases/tag/v1.8.4)4. FFmpeg 获取5. VLC 获取…
阅读更多...
.NET开源、简单、实用的数据库文档生成工具

.NET开源、简单、实用的数据库文档生成工具

前言 今天大姚给大家分享一款.NET开源（MIT License）、免费、简单、实用的数据库文档（字典）生成工具，该工具支持CHM、Word、Excel、PDF、Html、XML、Markdown等多文档格式的导出：DBCHM。 支持的数据库 Sq…
阅读更多...
IEEE官方列表会议 | 第三届能源与环境工程国际会议(CFEEE 2024)

IEEE官方列表会议 | 第三届能源与环境工程国际会议(CFEEE 2024)

会议简介 Brief Introduction 2024年第三届能源与环境工程国际会议(CFEEE 2024) 会议时间：2024年12月2日-4日 召开地点：澳大利亚凯恩斯 大会官网：CFEEE 2024-2024 International Conference on Frontiers of Energy and Environment Engineer…
阅读更多...
Android APP 音视频（01）MediaCodec解码H264码流

Android APP 音视频（01）MediaCodec解码H264码流

说明： 此MediaCodec解码H264实操主要针对Android12.0系统。通过读取sd卡上的H264码流Me获取视频数据，将数据通过mediacodec解码输出到surfaceview上。 1 H264码流和MediaCodec解码简介 1.1 H264码流简介 H.264，也被称为MPEG-4 AVC&#xff…
阅读更多...
uni-app 影视类小程序开发从零到一 | 开源项目分享

uni-app 影视类小程序开发从零到一 | 开源项目分享

引言 在数字娱乐时代，对于电影爱好者而言，随时随地享受精彩影片成为一种日常需求。分享一款基于 uni-app 开发的影视类小程序。它不仅提供了丰富的影视资源推荐，还融入了个性化知乎日报等内容，是不错的素材，同时对电影…
阅读更多...
就业管理功能概述：构建智慧校园企业招聘平台

就业管理功能概述：构建智慧校园企业招聘平台

在智慧校园整体解决方案中，就业管理模块连接着学校与企业两端，更成为学生们步入社会、开启职业生涯梦想的关键门户。这一功能的核心价值，在于它如何巧妙地运用科技的力量，简化招聘流程，提升招聘效率，同时为…
阅读更多...
5G赋能车联网，无人驾驶引领未来出行

5G赋能车联网，无人驾驶引领未来出行

无人驾驶车联网应用已成为智能交通领域的重要发展趋势。随着无人驾驶技术的不断进步和5G网络的广泛部署，5G工业路由器在无人驾驶车联网中的应用日益广泛，为无人驾驶车辆提供了稳定、高效、低时延的通信保障。 5G工业路由器的优势 低时延：5G网…
阅读更多...
Python教程（一）：环境搭建及PyCharm安装

Python教程（一）：环境搭建及PyCharm安装

目录 引言1. Python简介1.1 编译型语言 VS 解释型语言 2. Python的独特之处3. Python应用全览4. Python版本及区别5. 环境搭建5.1 安装Python： 6. 开发工具（IDE）6.1 PyCharm安装教程6.2 永久使用教程 7. 编写第一个Hello World结语 引言 在当…
阅读更多...
Open3D 可视化窗口中查看点的坐标数据

Open3D 可视化窗口中查看点的坐标数据

目录 一、概述 1.1实现步骤 1.2应用 二、代码实现 2.1关键函数 2.2完整代码 三、实现效果 3.1选取点 3.2数据显示 前期试读，后续会将博客加入下列链接的专栏，欢迎订阅 Open3D与点云深度学习的应用_白葵新的博客-CSDN博客 一、概述 可以使用Op…
阅读更多...
Java语言程序设计基础篇_编程练习题**15.19 (游戏:手眼协调)

Java语言程序设计基础篇_编程练习题**15.19 (游戏:手眼协调)

**15.19 (游戏:手眼协调) 请编写一个程序，显示一个半径为10像素的实心圆，该圆放置在面板上的随机位置，并填充随机的顔色，如图15-29b所示。单击这个圆时，它会消失，然后在另一个随机的位置显示新的随机颜色的…
阅读更多...
【工具】轻松转换JSON与Markdown表格——自制Obsidian插件

【工具】轻松转换JSON与Markdown表格——自制Obsidian插件

文章目录 一、插件简介二、功能详解三、使用教程四、插件代码五、总结 一、插件简介 JsonMdTableConverter是一款用于Obsidian的插件，它可以帮助用户在JSON格式和Markdown表格之间进行快速转换。这款插件具有以下特点： 轻松识别并转换JSON与Markdown表格…
阅读更多...
Java | Leetcode Java题解之第278题第一个错误的版本

Java | Leetcode Java题解之第278题第一个错误的版本

题目&#xff1a; 题解&#xff1a; public class Solution extends VersionControl {public int firstBadVersion(int n) {int left 1, right n;while (left < right) { // 循环直至区间左右端点相同int mid left (right - left) / 2; // 防止计算时溢出if (isBadVers…
阅读更多...
【linux驱动开发】卸载驱动时报错:Trying to free already-free IRQ 0

【linux驱动开发】卸载驱动时报错:Trying to free already-free IRQ 0

【linux驱动开发】free_irq时报错:Trying to free already-free IRQ 0 卸载驱动时报错Trying to free already-free IRQ 0 第一次加载卸载驱动没有任何问题。第二次加载驱动&#xff0c;按键中断触发失效&#xff0c;卸载驱动时报错:Trying to free already-free IRQ 0 看了…
阅读更多...
牛客周赛50轮+cf955+abc363

牛客周赛50轮+cf955+abc363

D-小红的因式分解_牛客周赛 Round 50 (nowcoder.com) 思路&#xff1a; 巨蠢的题目&#xff0c;ax^2bxca1*a2*x^2(b1*a2b2*a1)xb1*b2&#xff0c;即&#xff1a; aa1*a2,ba1*b2a2*b1,cb1*b2 数据范围很小&#xff0c;直接暴力枚举吧&#xff08;注意条件&#xff09; 代码…
阅读更多...
简单使用SpringMVC写一个图书管理系统的登入功能和图书展示功能

简单使用SpringMVC写一个图书管理系统的登入功能和图书展示功能

准备好前端的代码 这里已经准备好了前端的代码&#xff0c;这里仅仅简单的介绍登入功能&#xff0c;和展示图书列表的功能。 如图&#xff1a; 如上图所示&#xff0c;这里的前端代码还是比较多的&#xff0c;在这里我介绍&#xff0c;login.html还有book_list.html这两个。 l…
阅读更多...
【快速逆向四/无过程/有源码】浙江工商职业技术学院 统一身份认证

【快速逆向四/无过程/有源码】浙江工商职业技术学院 统一身份认证

逆向日期&#xff1a;2024.07.23 使用工具&#xff1a;Node.js 加密方法&#xff1a;RSAUtils 文章全程已做去敏处理&#xff01;&#xff01;&#xff01; 【需要做的可联系我】 AES解密处理&#xff08;直接解密即可&#xff09;&#xff08;crypto-js.js 标准算法&#xf…
阅读更多...
万界星空科技MES系统的智能排产功能

万界星空科技MES系统的智能排产功能

万界星空科技MES系统通过一系列先进的手段和算法进行智能排产&#xff0c;这些手段确保了生产过程的优化和效率的提升。 1、智能分析&#xff1a; MES系统通过收集和分析生产过程中的数据&#xff0c;能够对生产过程进行智能分析。这包括分析哪些工序需要生产&#xff0c;哪些…
阅读更多...
最新文章

Copyright @ 2022~2023