接到告警电话那一刻我就知道今晚要加班了。CPU跑到100%安全组说服务器可能中了挖矿木马。做Windows应急响应越久越明白一件事所谓排查不是拿着杀毒软件扫一遍就完事而是要在最短时间里确认主机是否已被控制、恶意程序藏在哪、攻击者通过什么方式进来并通过痕迹还原当时的操作链。这篇文章记录的是我日常处理Windows恶意程序时的一套固定动作覆盖进程、启动项、服务、网络、日志、账号、文件以及后续的清理加固适合刚接触应急响应的新人也适合需要做Windows主机安全检查和基线加固的运维同学。打开事件日志之前先把“排查思路”立住。Windows系统本身就有很多原生的排查手段不需要一上来就上昂贵的EDR完全可以用内置命令和微软官方工具做一轮快速判断。下面这些内容我按排查顺序整理你最好按这个节奏走一遍漏一步都可能放掉真正的问题。1. 排查前的基本功先隔离再取证别着急一键查杀1.1 为什么第一步永远是断网/隔离而不是杀毒很多新人拿到中毒主机后第一反应是双击杀毒软件全盘扫描。这个动作我特别不建议。恶意程序在运行时是活的它会不断外联、释放新文件、修改注册表甚至检测到扫描动作后主动反杀或自毁。你一扫描反而打草惊蛇把最有价值的现场破坏了。正确做法是先把主机从业务网络里隔离出来。如果是云服务器直接在安全组或防火墙层面阻断入站和出站流量如果是物理机或虚拟机拔网线或断开虚拟交换机保留电源和本机登录通道。这里要特别提醒隔离不等于关机。很多恶意程序把数据存在内存和磁盘的未持久化区域一旦关机或重启内存中的进程信息和网络连接状态就全部丢失。我们要做的是“断电级别”的现场保护主机保持运行但切断与外界的通信。隔离之后立刻做一个镜像备份至少也要把关键文件复制出来。我曾经处理过一台被勒索程序加密的服务器因为先断网再复制文件成功把未加密前的配置和几份重要文档从工作集里捞了出来。备份不光是取证的保障也是后续修复失败时的退路。应急响应里永远给自己留一条能回退的路。1.2 信息收集给主机做一份“案发现场快照”所谓快照就是把当前系统里正在发生的状态记录下来。进程列表、网络连接、登录会话、服务状态、计划任务、文件修改时间、账号列表这些信息要在做任何操作之前先抓到本地文件。我习惯把输出统一重定向到C:\Evidence\目录下然后用PowerShell的Get-Date记录采集时间。快速抓取基础信息可以执行这么一组命令建议依次跑完mkdir C:\Evidence tasklist /v /fo csv C:\Evidence\tasklist.csv netstat -ano C:\Evidence\netstat.txt sc query state all C:\Evidence\services.txt wmic startup list full C:\Evidence\startup.txt wmic useraccount list full C:\Evidence\users.txt wmic process list full C:\Evidence\process_full.txt这些命令输出内容不少但不要嫌多。排查恶意程序时最怕的就是事后想查某个时间点的连接记录却发现当初没存。尤其netstat -ano这条它记录的本地端口、外部地址和进程PID是判断外联行为的直接证据。wmic process list full会输出每个进程的命令行参数、可执行文件路径、启动时间对比正常业务进程很容易发现异常。快照采集完成后我还会顺手用wevtutil epl System C:\Evidence\System.evtx把系统日志导出事件日志后面专门讲。记住一个原则采集顺序从易失数据到不易失数据。内存、网络连接、进程属于易失数据最先抓文件、注册表、日志属于持久数据可以稍后细查。1.3 常用工具清单Sysinternals 真的很耐打微软官方的Sysinternals工具包是排查Windows恶意程序的“瑞士军刀”大部分工具免安装、绿色运行可以以U盘方式直接拉起来。我常用的有这几个Process Explorer比自带任务管理器强太多可显示进程树、签名状态、加载的DLL右键还能查看进程属性、TCP/IP连接是进程排查的主力。Autoruns把注册表启动项、计划任务、服务、驱动、启动文件夹全部按类别列出来做启动项排查首选。TCPView把每个进程的TCP/UDP连接实时显示出来比netstat直观尤其是能直接看到进程名和远程地址。Sigcheck用来校验文件的数字签名和哈希值很多恶意程序会伪装成微软或杀软进程签名校验一票否决。Strings从二进制文件里提取可读字符串用于快速判断样本是否包含命令、URL、IP等线索。除此之外系统自带的PowerShell和cmd足够完成大部分工作。如果你在排查的是多台Windows服务器建议把Sysinternals工具放到共享目录或用PowerShell远程会话统一调用但前提是所有操作都有授权且不影响业务。工具不一定要多重要的是知道每个工具解决什么问题。进程异常用Process Explorer启动项异常用Autoruns网络异常用TCPView文件可疑用Sigcheck和Strings这一套组合基本覆盖了95%的场景。2. 恶意程序的藏身位置进程、启动项、服务与网络2.1 进程排查先用3分钟找出可疑进程拿到一台可疑主机我最先看的就是进程。不是因为进程一定有问题而是因为它能快速反映当前系统在干什么。打开Process Explorer先做两件事点击“Options”菜单启用验证签名然后按CPU使用率排序。挖矿木马和勒索程序运行时CPU占用会异常高排在表头的进程基本都是重点怀疑对象。看进程要把握几个特征第一进程名称是否正常。比如svchost.exe在Windows任务管理器里一抓一大把但正常的svchost都是作为服务宿主启动的如果一个svchost.exe从C:\Users\Public\或者C:\Temp\跑起来基本可以断定有问题。第二进程路径是否合理。正规系统进程路径都在C:\Windows\System32、C:\Windows\SysWOW64下而恶意程序喜欢放在临时目录、用户下载目录、回收站、隐藏文件夹。第三进程的签名和出品公司是否可信。右键查看属性数字签名证书是无效、过期或“未签名”的就要留意微软系统进程的签名通常由Microsoft Windows发布。命令行参数也是重要线索。用wmic process get ProcessId,Name,ExecutablePath,CommandLine或PowerShell的Get-CimInstance Win32_Process能看到进程启动时带了什么参数。很多攻击者会用PowerShell执行混淆命令比如powershell -enc ...这种Base64编码的命令行基本就是恶意行为。遇到过不少挖矿木马进程名字伪装成audiodg.exe但命令行里暴露了矿池地址一查一个准。锁定可疑进程后第一件事不是杀进程而是先记录它的PID、父进程、路径、启动时间。然后右键选择“Suspend”挂起进程让恶意程序暂停活动再继续排查它关联的服务、网络连接和文件。直接Kill有个风险如果这个进程是守护型的杀完会被另一部分重新拉起反而暴露不了完整的恶意链路。2.2 启动项与计划任务不重启就会原形毕露恶意程序想长期存活必须让自己在系统重启后自动运行。排查启动项我用Autoruns比手动翻注册表快得多。Autoruns打开后把“Filters”里的“Hide Signed Microsoft Entries”勾选这样一大批正常项会被隐藏掉剩下的基本就是第三方或非微软签名的内容可疑范围立刻缩小。重点看几个位置HKCU\Software\Microsoft\Windows\CurrentVersion\Run、HKLM\Software\Microsoft\Windows\CurrentVersion\Run还有启动文件夹%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup。恶意程序很喜欢在这些位置写一个指向C:\Users\Public\或C:\ProgramData\下的启动脚本。计划任务是另一个重灾区。很多攻击者用计划任务做定时上线和持久化命令如下schtasks /query /fo LIST /v C:\Evidence\schtasks.txt把输出保存下来后重点看任务对应的程序路径有没有在临时目录、有没有异常的参数、触发器是不是每隔几分钟或每天执行。我见过一个计划任务名字伪装成“MicrosoftEdgeUpdate”执行命令却是rundll32.exe javascript:\..\mshtml,RunHTMLApplication的代码这种情况下就算杀毒软件不报毒靠人工也能判断有问题。还有注册表里的Image File Execution Options它常被用来做调试器劫持或进程保护AppInit_DLLs则是全局DLL注入的经典入口。在Autoruns里这些都能看到如果你发现某个DLL路径在C:\Users\Public\下面基本可以确定被恶意注入了。排查启动项时一定要动手点开每一项看路径别只看名字。2.3 服务与驱动内核层面的“钉子户”很多高级恶意程序不再满足于用户态进程而是把自己注册成Windows服务或内核驱动这种程序在普通的进程列表里可能看不到杀掉它还会自动重启。排查服务用自带命令就够sc query state all C:\Evidence\services.txt输出里每行都包含服务名、显示名、进程状态和服务类型。重点找RUNNING状态且路径指向非系统目录的服务特别是C:\ProgramData、C:\Windows\Temp、C:\Users\Public这种位置。正常的系统服务路径几乎都在C:\Windows\System32出现异常路径就要打开注册表HKLM\SYSTEM\CurrentControlSet\Services对应项看ImagePath有没有被改成别的程序。服务和驱动还经常配合“镜像劫持”或“开机启动”做对抗。如果发现某些服务无法停止或者停止后马上自动恢复可以用sc.exe stop配合sc.exe config 服务名 start disabled先禁用再删除服务项。但删除前务必把服务路径信息记录下来因为服务对应的ImagePath就是恶意文件的地址后续手动清理要用。内核驱动的排查对新手来说稍微硬核但有一个简单技巧用fltmc列出文件系统过滤驱动再用driverquery /v查看驱动信息。恶意驱动通常会伪装成安全软件或系统内置名称但文件名和描述对不上。如果系统里装了证书校验工具对驱动签名也验一遍未签名或过期的驱动很值得警惕。2.4 网络连接顺着端口找外联恶意程序不联网就很难完成控制、下载、回传等操作所以网络连接排查是定位问题的重要环节。系统自带的netstat -ano能列出每个连接的本地地址、外部地址和PID是必备命令。打开TCPView更直观它会实时刷新每个进程的连接状态外部IP和端口一目了然。排查时重点看两类连接一类是主动向外建立的TCP连接尤其目标端口是常见的443以外的高端口或非标准端口另一类是监听在本地端口的可疑服务表示这台机器可能被人连入。遇到不认识的远程IP建议通过威胁情报平台查一下该IP的信誉如果发现是已知恶意IP进程就可以直接锁定。不过要记住有些木马用域名回连IP层面并不固定所以同时要检查DNS解析缓存ipconfig /displaydns C:\Evidence\dns.txt在DNS缓存里能看到本机最近解析过哪些域名如果发现大量随机域名或伪装成正常站点的域名说明可能连接了恶意C2服务器。网络连接排查有一个坑netstat只能看到当前连接瞬时的外联行为可能抓不住。这时候看Windows防火墙日志和网络设备日志会有帮助但如果没提前开启就只能通过其他痕迹补足。所以应急响应结束后一定要把网络层审计日志和防火墙日志落下来否则下次遇到短连接木马还是抓瞎。3. 入侵痕迹排查日志、文件与账号里的线索3.1 Windows 事件日志最有力的“案发现场记录仪”Windows系统自带的事件日志是排查入侵痕迹绕不开的一环尤其是安全日志Security。我一般先看三个日志文件Security.evtx安全日志、System.evtx系统日志、Microsoft-Windows-PowerShell%4Operational.evtxPowerShell操作日志。安全日志里最值得关注的事件ID我给常用几个做成了速查表事件ID含义排查要点4624成功登录关注登录类型、登录进程、源网络地址4625登录失败高频失败可能代表爆破4672管理员授权登录特殊权限令牌被赋予看时间点4720创建用户账号确认是否由管理员手动创建4728 / 4732用户被加入安全组/本地组监控是否被加入管理员组1102安全日志被清除攻击者清理痕迹的典型操作7045新服务被安装对应恶意服务写入事件看到4625登录失败事件时先统计源IP和次数。如果某一IP在短时间内几十次失败那就是很明显的暴力破解痕迹。看到4624成功登录时重点看“登录类型”。类型2是交互式登录本机键盘类型10是远程登录Remote Interactive也就是RDP类型3是网络共享访问。如果你这台服务器根本没人用RDP登录却频繁出现类型10说明远程入口被利用了。PowerShell操作日志我也建议必查。现在攻击者非常喜欢用PowerShell做无文件攻击一个可疑的-enc参数足以说明攻击行为。如果日志里看到ScriptBlock文本带有下载文件、进程注入等关键词基本可以认定某个账户执行过恶意代码。事件日志最麻烦的是容易被清理所以有条件一定要做日志集中转存别让攻击者把“现场”一把火点了。3.2 文件系统痕迹可疑文件通常藏在哪儿没有无文件攻击的恶意程序最终一定会释放文件不是本体就是辅助脚本。排查文件痕迹先重点看几个高风险目录用户临时目录C:\Users\用户名\AppData\Local\Temp、C:\Windows\Temp公共目录C:\Users\Public、C:\ProgramData下载目录C:\Users\用户名\Downloads回收站攻击者常藏文件到这里躲避扫描在这些目录里按“修改时间”倒序排列寻找与受害时间点吻合的.exe、.dll、.ps1、.bat、.vbs、.scr文件。文件名如果是一长串随机字符或者名字伪装成svchost.exe、explorer.exe、update.exe这类的直接列为重点怀疑对象。拿到可疑文件后做两件事第一用Sigcheck查签名和哈希第二用Strings抽字符串。哈希值可以放到在线病毒检测平台查一下看看有没有其他样本关联字符串里如果出现Miner、Wallet、Pool、http://这类关键词基本就能定性。文件时间戳也值得留意很多恶意程序会把时间改成与正常系统文件一致躲避“时间线分析”。这时候可以查看文件内容里的编译时间用Strings或PE查看工具能对出来。文件删除时要注意不要只删主程序要把关联的脚本、配置文件、计划任务和服务项一起清理。不然重启一下又“复活”了。删除前建议把样本压缩并加密备份取一个带“样本”字样的名字防止以后要做溯源分析时找不到原始文件。3.3 账号排查小心“隐形人”攻击者拿到系统权限后最常做的事情之一就是创建新账号用来做跳板或后门。排查账号这部分不要只看图形界面用命令能发现更多隐藏维度。先看当前系统上所有用户wmic useraccount list full C:\Evidence\users.txt重点看账号的Disabled、LocalAccount、SID字段。如果一个账号SID以500结尾管理员账号但名称和描述都比较陌生可能就是后门。管理员组账号查看net localgroup administrators一旦发现不在已知管理员名单内的账号要立刻确认是否为最近创建。net user的用户创建时间不一定能代表真实情况攻击者会篡改所以配合安全日志4720事件看更靠谱。除了普通账号还有一类“隐藏账号”在系统里通过$结尾命名比如evil$这种情况net user不一定能直接看到但PowerShell里可以用Get-LocalUser或者ADSI接口列出来。注册表里HKLM\SAM保存了本机账号的哈希信息正常情况下普通用户无法直接读取。如果你在取证时发现某个账号的F值或V值异常说明账号可能被克隆过。不过这个操作需要System权限日常排查先做好管理员组和登录日志就够了。账号排查完后千万记得把可疑账号立即禁用或删除否则攻击者随时可以再登回来。4. 确认、清除与加固从救火到防火4.1 如何确认恶意程序并清理干净排查做到最后手上已经有一堆可疑文件和进程。这时候先别急着清理我习惯做一个“确认清单”可疑文件哈希是否被威胁情报标记、进程是否有外连记录、是否写入启动项或服务、是否创建过隐藏账号四个条件满足两个以上才动手清除。清除顺序有讲究。我一般先从“持久化入口”删除禁用计划任务、删除服务项、清掉注册表Run键然后中断恶意进程最后删除恶意文件。顺序反了的话删掉文件后进程会立刻从内存释放另一个副本或者驻留服务把原文件拉回来。也就是说要先让恶意程序“无法再启动”再杀当前运行实例最后删磁盘文件。杀进程用taskkill /F /PID PID如果进程有守护逻辑把守护进程一并找出来。服务可以用sc delete 服务名删除计划任务用schtasks /Delete /TN 任务名 /F清理。文件删除前先用Process Explorer确认没有任何进程持有该文件否则会删除失败或留下占用锁。清理之后我会做一次验证重启主机再抓一次进程、启动项、网络连接快照观察可疑对象有没有复现。这一步非常关键很多清理不彻底就是漏在了某个启动项或服务里。验证完再用杀毒软件做全盘扫描但在扫描前一定要把样本隔离好防止杀软把证据当成普通病毒直接清除导致后续溯源变得困难。4.2 常见症状与排查方向速查表排查过程中会遇到一些典型症状我把这几年实战常遇到的整理成一张速查表遇到对应情况可以直接往对应方向查典型症状可能原因优先排查位置CPU持续100%风扇狂转挖矿木马进程CPU排序、异常外联、临时目录可执行文件大量出站连接僵尸网络/后门回连netstat -ano、TCPView、防火墙日志开机弹出陌生进程或网页启动项被篡改Autoruns、计划任务、Run注册表账号被加管理员组账号后门安全日志4728/4732、管理员组成员安全日志被清空攻击者清理痕迹日志缺失时间窗口、1102事件文件批量被改后缀勒索程序加密文件系统扫描、勒索信、进程外联远程桌面频繁断开/卡顿被暴力破解或多人远程登录4624/4625登录事件、RDP连接数杀毒软件被退出且无法启动被恶意程序禁用服务状态、组策略、映像劫持、驱动文件无法删除提示被占用恶意进程仍在运行Process Explorer句柄查找、挂起进程网络流量异常升高向外传输数据防火墙日志、TCPView、netstat外联IP速查表只是方向不能替代过程排查。遇到复杂情况还是要回到进程、启动项、服务、网络、日志这条主线上来一步一步走。我记得有一次排查了很久没发现的持久化后门最后是在计划任务里看到一个隐藏任务任务名全用空格构成Autoruns里不仔细看根本不会注意所以每次查启动项我都要把每个项目点开。4.3 应急后的加固建议让下一次入侵更麻烦救完火之后真正要做的是加固。如果只是把恶意程序清掉第二天同一个漏洞被扫到攻击者还能再进来。第一件事是补丁更新。很多入侵利用的是系统或第三方软件的已知漏洞Windows Update和厂商安全补丁确认都更新到位尤其是面向公网的服务器。第二件事是账号和安全策略禁用不必要的默认管理员修改所有密码开启账户锁定阈值限制远程登录IP。策略配置可以参考Windows安全基线但不用一次全开先从“攻击面最小化”做起。第三件事是日志和审计。至少把安全日志大小调到足够大开启审核登录事件、审核进程创建、审核对象访问并把日志集中转存到独立的日志服务器或云日志平台。我强烈建议使用Windows事件日志转发这样就算被攻击者clean log主机的日志丢了集端还保留一份。第四件事是关闭不需要的端口和服务尤其是不必要的远程桌面、SMB共享、文件服务端口。对外只开放业务必需的端口内部管理接口建议走带认证的跳板机或堡垒机不要直接暴露在互联网上。这些动作不需要多复杂的设备系统自带防火墙加组策略就能完成。做安全基线检查时我习惯写一个PowerShell脚本检查常用配置项省得每次手动翻界面。4.4 一些我从实战里踩出来的经验最后分享几条个人经验不一定写在哪本教材里但对排查效率影响很大。第一条碰到可疑进程先挂起不要杀。挂起能让它“休眠”你可以在不惊动恶意程序守护逻辑的情况下继续排查。如果直接杀掉就算最后杀干净了你也没法确认它还有没有关联的、潜伏在其他地方的兄弟进程。第二条尽量把采集的命令输出都保存到带时间戳的文件里哪怕当时觉得没用。我吃过亏有一次凭记忆认为某个外连IP是CDN的没存证据后来溯源时发现那是个恶意C2只能靠外部记录补费了很大劲。所有输出都留档后续不管写报告还是做复盘都有依据。第三条排查过程要记录“人、时间、路径、命令”。谁在什么时间执行了什么命令文件路径在哪里账号来自哪里这些信息凑在一起才能还原完整的攻击链。排查不是抓到一个木马就结束而是搞清楚它怎么进来的、做了什么、带走什么。第四条也是最重要的不要只靠杀毒软件。杀毒软件永远是“已知恶意”的检测对付变种、混淆、无文件攻击还是得靠系统侧的行为排查和日志审计。把Windows原生的排查技能练好才能真正在事故里拿回主动权。接到告警那一刻谁都不想但应急响应的价值恰恰在于能冷静地用一套方法找到问题根源。上面这些命令和思路每一条都是我用加班和踩坑换来的。下次你的Windows主机再出现异常先别慌按这套流程走一遍多半能省下大量没必要的重装系统时间。 
长河君 · 2026/9/28 13:40:42 · 阅读 1.2k Windows应急响应排查指南：从进程到日志的恶意程序处置实战
接到告警电话那一刻我就知道今晚要加班了。CPU跑到100%安全组说服务器可能中了挖矿木马。做Windows应急响应越久越明白一件事所谓排查不是拿着杀毒软件扫一遍就完事而是要在最短时间里确认主机是否已被控制、恶意程序藏在哪、攻击者通过什么方式进来并通过痕迹还原当时的操作链。这篇文章记录的是我日常处理Windows恶意程序时的一套固定动作覆盖进程、启动项、服务、网络、日志、账号、文件以及后续的清理加固适合刚接触应急响应的新人也适合需要做Windows主机安全检查和基线加固的运维同学。打开事件日志之前先把“排查思路”立住。Windows系统本身就有很多原生的排查手段不需要一上来就上昂贵的EDR完全可以用内置命令和微软官方工具做一轮快速判断。下面这些内容我按排查顺序整理你最好按这个节奏走一遍漏一步都可能放掉真正的问题。1. 排查前的基本功先隔离再取证别着急一键查杀1.1 为什么第一步永远是断网/隔离而不是杀毒很多新人拿到中毒主机后第一反应是双击杀毒软件全盘扫描。这个动作我特别不建议。恶意程序在运行时是活的它会不断外联、释放新文件、修改注册表甚至检测到扫描动作后主动反杀或自毁。你一扫描反而打草惊蛇把最有价值的现场破坏了。正确做法是先把主机从业务网络里隔离出来。如果是云服务器直接在安全组或防火墙层面阻断入站和出站流量如果是物理机或虚拟机拔网线或断开虚拟交换机保留电源和本机登录通道。这里要特别提醒隔离不等于关机。很多恶意程序把数据存在内存和磁盘的未持久化区域一旦关机或重启内存中的进程信息和网络连接状态就全部丢失。我们要做的是“断电级别”的现场保护主机保持运行但切断与外界的通信。隔离之后立刻做一个镜像备份至少也要把关键文件复制出来。我曾经处理过一台被勒索程序加密的服务器因为先断网再复制文件成功把未加密前的配置和几份重要文档从工作集里捞了出来。备份不光是取证的保障也是后续修复失败时的退路。应急响应里永远给自己留一条能回退的路。1.2 信息收集给主机做一份“案发现场快照”所谓快照就是把当前系统里正在发生的状态记录下来。进程列表、网络连接、登录会话、服务状态、计划任务、文件修改时间、账号列表这些信息要在做任何操作之前先抓到本地文件。我习惯把输出统一重定向到C:\Evidence\目录下然后用PowerShell的Get-Date记录采集时间。快速抓取基础信息可以执行这么一组命令建议依次跑完mkdir C:\Evidence tasklist /v /fo csv C:\Evidence\tasklist.csv netstat -ano C:\Evidence\netstat.txt sc query state all C:\Evidence\services.txt wmic startup list full C:\Evidence\startup.txt wmic useraccount list full C:\Evidence\users.txt wmic process list full C:\Evidence\process_full.txt这些命令输出内容不少但不要嫌多。排查恶意程序时最怕的就是事后想查某个时间点的连接记录却发现当初没存。尤其netstat -ano这条它记录的本地端口、外部地址和进程PID是判断外联行为的直接证据。wmic process list full会输出每个进程的命令行参数、可执行文件路径、启动时间对比正常业务进程很容易发现异常。快照采集完成后我还会顺手用wevtutil epl System C:\Evidence\System.evtx把系统日志导出事件日志后面专门讲。记住一个原则采集顺序从易失数据到不易失数据。内存、网络连接、进程属于易失数据最先抓文件、注册表、日志属于持久数据可以稍后细查。1.3 常用工具清单Sysinternals 真的很耐打微软官方的Sysinternals工具包是排查Windows恶意程序的“瑞士军刀”大部分工具免安装、绿色运行可以以U盘方式直接拉起来。我常用的有这几个Process Explorer比自带任务管理器强太多可显示进程树、签名状态、加载的DLL右键还能查看进程属性、TCP/IP连接是进程排查的主力。Autoruns把注册表启动项、计划任务、服务、驱动、启动文件夹全部按类别列出来做启动项排查首选。TCPView把每个进程的TCP/UDP连接实时显示出来比netstat直观尤其是能直接看到进程名和远程地址。Sigcheck用来校验文件的数字签名和哈希值很多恶意程序会伪装成微软或杀软进程签名校验一票否决。Strings从二进制文件里提取可读字符串用于快速判断样本是否包含命令、URL、IP等线索。除此之外系统自带的PowerShell和cmd足够完成大部分工作。如果你在排查的是多台Windows服务器建议把Sysinternals工具放到共享目录或用PowerShell远程会话统一调用但前提是所有操作都有授权且不影响业务。工具不一定要多重要的是知道每个工具解决什么问题。进程异常用Process Explorer启动项异常用Autoruns网络异常用TCPView文件可疑用Sigcheck和Strings这一套组合基本覆盖了95%的场景。2. 恶意程序的藏身位置进程、启动项、服务与网络2.1 进程排查先用3分钟找出可疑进程拿到一台可疑主机我最先看的就是进程。不是因为进程一定有问题而是因为它能快速反映当前系统在干什么。打开Process Explorer先做两件事点击“Options”菜单启用验证签名然后按CPU使用率排序。挖矿木马和勒索程序运行时CPU占用会异常高排在表头的进程基本都是重点怀疑对象。看进程要把握几个特征第一进程名称是否正常。比如svchost.exe在Windows任务管理器里一抓一大把但正常的svchost都是作为服务宿主启动的如果一个svchost.exe从C:\Users\Public\或者C:\Temp\跑起来基本可以断定有问题。第二进程路径是否合理。正规系统进程路径都在C:\Windows\System32、C:\Windows\SysWOW64下而恶意程序喜欢放在临时目录、用户下载目录、回收站、隐藏文件夹。第三进程的签名和出品公司是否可信。右键查看属性数字签名证书是无效、过期或“未签名”的就要留意微软系统进程的签名通常由Microsoft Windows发布。命令行参数也是重要线索。用wmic process get ProcessId,Name,ExecutablePath,CommandLine或PowerShell的Get-CimInstance Win32_Process能看到进程启动时带了什么参数。很多攻击者会用PowerShell执行混淆命令比如powershell -enc ...这种Base64编码的命令行基本就是恶意行为。遇到过不少挖矿木马进程名字伪装成audiodg.exe但命令行里暴露了矿池地址一查一个准。锁定可疑进程后第一件事不是杀进程而是先记录它的PID、父进程、路径、启动时间。然后右键选择“Suspend”挂起进程让恶意程序暂停活动再继续排查它关联的服务、网络连接和文件。直接Kill有个风险如果这个进程是守护型的杀完会被另一部分重新拉起反而暴露不了完整的恶意链路。2.2 启动项与计划任务不重启就会原形毕露恶意程序想长期存活必须让自己在系统重启后自动运行。排查启动项我用Autoruns比手动翻注册表快得多。Autoruns打开后把“Filters”里的“Hide Signed Microsoft Entries”勾选这样一大批正常项会被隐藏掉剩下的基本就是第三方或非微软签名的内容可疑范围立刻缩小。重点看几个位置HKCU\Software\Microsoft\Windows\CurrentVersion\Run、HKLM\Software\Microsoft\Windows\CurrentVersion\Run还有启动文件夹%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup。恶意程序很喜欢在这些位置写一个指向C:\Users\Public\或C:\ProgramData\下的启动脚本。计划任务是另一个重灾区。很多攻击者用计划任务做定时上线和持久化命令如下schtasks /query /fo LIST /v C:\Evidence\schtasks.txt把输出保存下来后重点看任务对应的程序路径有没有在临时目录、有没有异常的参数、触发器是不是每隔几分钟或每天执行。我见过一个计划任务名字伪装成“MicrosoftEdgeUpdate”执行命令却是rundll32.exe javascript:\..\mshtml,RunHTMLApplication的代码这种情况下就算杀毒软件不报毒靠人工也能判断有问题。还有注册表里的Image File Execution Options它常被用来做调试器劫持或进程保护AppInit_DLLs则是全局DLL注入的经典入口。在Autoruns里这些都能看到如果你发现某个DLL路径在C:\Users\Public\下面基本可以确定被恶意注入了。排查启动项时一定要动手点开每一项看路径别只看名字。2.3 服务与驱动内核层面的“钉子户”很多高级恶意程序不再满足于用户态进程而是把自己注册成Windows服务或内核驱动这种程序在普通的进程列表里可能看不到杀掉它还会自动重启。排查服务用自带命令就够sc query state all C:\Evidence\services.txt输出里每行都包含服务名、显示名、进程状态和服务类型。重点找RUNNING状态且路径指向非系统目录的服务特别是C:\ProgramData、C:\Windows\Temp、C:\Users\Public这种位置。正常的系统服务路径几乎都在C:\Windows\System32出现异常路径就要打开注册表HKLM\SYSTEM\CurrentControlSet\Services对应项看ImagePath有没有被改成别的程序。服务和驱动还经常配合“镜像劫持”或“开机启动”做对抗。如果发现某些服务无法停止或者停止后马上自动恢复可以用sc.exe stop配合sc.exe config 服务名 start disabled先禁用再删除服务项。但删除前务必把服务路径信息记录下来因为服务对应的ImagePath就是恶意文件的地址后续手动清理要用。内核驱动的排查对新手来说稍微硬核但有一个简单技巧用fltmc列出文件系统过滤驱动再用driverquery /v查看驱动信息。恶意驱动通常会伪装成安全软件或系统内置名称但文件名和描述对不上。如果系统里装了证书校验工具对驱动签名也验一遍未签名或过期的驱动很值得警惕。2.4 网络连接顺着端口找外联恶意程序不联网就很难完成控制、下载、回传等操作所以网络连接排查是定位问题的重要环节。系统自带的netstat -ano能列出每个连接的本地地址、外部地址和PID是必备命令。打开TCPView更直观它会实时刷新每个进程的连接状态外部IP和端口一目了然。排查时重点看两类连接一类是主动向外建立的TCP连接尤其目标端口是常见的443以外的高端口或非标准端口另一类是监听在本地端口的可疑服务表示这台机器可能被人连入。遇到不认识的远程IP建议通过威胁情报平台查一下该IP的信誉如果发现是已知恶意IP进程就可以直接锁定。不过要记住有些木马用域名回连IP层面并不固定所以同时要检查DNS解析缓存ipconfig /displaydns C:\Evidence\dns.txt在DNS缓存里能看到本机最近解析过哪些域名如果发现大量随机域名或伪装成正常站点的域名说明可能连接了恶意C2服务器。网络连接排查有一个坑netstat只能看到当前连接瞬时的外联行为可能抓不住。这时候看Windows防火墙日志和网络设备日志会有帮助但如果没提前开启就只能通过其他痕迹补足。所以应急响应结束后一定要把网络层审计日志和防火墙日志落下来否则下次遇到短连接木马还是抓瞎。3. 入侵痕迹排查日志、文件与账号里的线索3.1 Windows 事件日志最有力的“案发现场记录仪”Windows系统自带的事件日志是排查入侵痕迹绕不开的一环尤其是安全日志Security。我一般先看三个日志文件Security.evtx安全日志、System.evtx系统日志、Microsoft-Windows-PowerShell%4Operational.evtxPowerShell操作日志。安全日志里最值得关注的事件ID我给常用几个做成了速查表事件ID含义排查要点4624成功登录关注登录类型、登录进程、源网络地址4625登录失败高频失败可能代表爆破4672管理员授权登录特殊权限令牌被赋予看时间点4720创建用户账号确认是否由管理员手动创建4728 / 4732用户被加入安全组/本地组监控是否被加入管理员组1102安全日志被清除攻击者清理痕迹的典型操作7045新服务被安装对应恶意服务写入事件看到4625登录失败事件时先统计源IP和次数。如果某一IP在短时间内几十次失败那就是很明显的暴力破解痕迹。看到4624成功登录时重点看“登录类型”。类型2是交互式登录本机键盘类型10是远程登录Remote Interactive也就是RDP类型3是网络共享访问。如果你这台服务器根本没人用RDP登录却频繁出现类型10说明远程入口被利用了。PowerShell操作日志我也建议必查。现在攻击者非常喜欢用PowerShell做无文件攻击一个可疑的-enc参数足以说明攻击行为。如果日志里看到ScriptBlock文本带有下载文件、进程注入等关键词基本可以认定某个账户执行过恶意代码。事件日志最麻烦的是容易被清理所以有条件一定要做日志集中转存别让攻击者把“现场”一把火点了。3.2 文件系统痕迹可疑文件通常藏在哪儿没有无文件攻击的恶意程序最终一定会释放文件不是本体就是辅助脚本。排查文件痕迹先重点看几个高风险目录用户临时目录C:\Users\用户名\AppData\Local\Temp、C:\Windows\Temp公共目录C:\Users\Public、C:\ProgramData下载目录C:\Users\用户名\Downloads回收站攻击者常藏文件到这里躲避扫描在这些目录里按“修改时间”倒序排列寻找与受害时间点吻合的.exe、.dll、.ps1、.bat、.vbs、.scr文件。文件名如果是一长串随机字符或者名字伪装成svchost.exe、explorer.exe、update.exe这类的直接列为重点怀疑对象。拿到可疑文件后做两件事第一用Sigcheck查签名和哈希第二用Strings抽字符串。哈希值可以放到在线病毒检测平台查一下看看有没有其他样本关联字符串里如果出现Miner、Wallet、Pool、http://这类关键词基本就能定性。文件时间戳也值得留意很多恶意程序会把时间改成与正常系统文件一致躲避“时间线分析”。这时候可以查看文件内容里的编译时间用Strings或PE查看工具能对出来。文件删除时要注意不要只删主程序要把关联的脚本、配置文件、计划任务和服务项一起清理。不然重启一下又“复活”了。删除前建议把样本压缩并加密备份取一个带“样本”字样的名字防止以后要做溯源分析时找不到原始文件。3.3 账号排查小心“隐形人”攻击者拿到系统权限后最常做的事情之一就是创建新账号用来做跳板或后门。排查账号这部分不要只看图形界面用命令能发现更多隐藏维度。先看当前系统上所有用户wmic useraccount list full C:\Evidence\users.txt重点看账号的Disabled、LocalAccount、SID字段。如果一个账号SID以500结尾管理员账号但名称和描述都比较陌生可能就是后门。管理员组账号查看net localgroup administrators一旦发现不在已知管理员名单内的账号要立刻确认是否为最近创建。net user的用户创建时间不一定能代表真实情况攻击者会篡改所以配合安全日志4720事件看更靠谱。除了普通账号还有一类“隐藏账号”在系统里通过$结尾命名比如evil$这种情况net user不一定能直接看到但PowerShell里可以用Get-LocalUser或者ADSI接口列出来。注册表里HKLM\SAM保存了本机账号的哈希信息正常情况下普通用户无法直接读取。如果你在取证时发现某个账号的F值或V值异常说明账号可能被克隆过。不过这个操作需要System权限日常排查先做好管理员组和登录日志就够了。账号排查完后千万记得把可疑账号立即禁用或删除否则攻击者随时可以再登回来。4. 确认、清除与加固从救火到防火4.1 如何确认恶意程序并清理干净排查做到最后手上已经有一堆可疑文件和进程。这时候先别急着清理我习惯做一个“确认清单”可疑文件哈希是否被威胁情报标记、进程是否有外连记录、是否写入启动项或服务、是否创建过隐藏账号四个条件满足两个以上才动手清除。清除顺序有讲究。我一般先从“持久化入口”删除禁用计划任务、删除服务项、清掉注册表Run键然后中断恶意进程最后删除恶意文件。顺序反了的话删掉文件后进程会立刻从内存释放另一个副本或者驻留服务把原文件拉回来。也就是说要先让恶意程序“无法再启动”再杀当前运行实例最后删磁盘文件。杀进程用taskkill /F /PID PID如果进程有守护逻辑把守护进程一并找出来。服务可以用sc delete 服务名删除计划任务用schtasks /Delete /TN 任务名 /F清理。文件删除前先用Process Explorer确认没有任何进程持有该文件否则会删除失败或留下占用锁。清理之后我会做一次验证重启主机再抓一次进程、启动项、网络连接快照观察可疑对象有没有复现。这一步非常关键很多清理不彻底就是漏在了某个启动项或服务里。验证完再用杀毒软件做全盘扫描但在扫描前一定要把样本隔离好防止杀软把证据当成普通病毒直接清除导致后续溯源变得困难。4.2 常见症状与排查方向速查表排查过程中会遇到一些典型症状我把这几年实战常遇到的整理成一张速查表遇到对应情况可以直接往对应方向查典型症状可能原因优先排查位置CPU持续100%风扇狂转挖矿木马进程CPU排序、异常外联、临时目录可执行文件大量出站连接僵尸网络/后门回连netstat -ano、TCPView、防火墙日志开机弹出陌生进程或网页启动项被篡改Autoruns、计划任务、Run注册表账号被加管理员组账号后门安全日志4728/4732、管理员组成员安全日志被清空攻击者清理痕迹日志缺失时间窗口、1102事件文件批量被改后缀勒索程序加密文件系统扫描、勒索信、进程外联远程桌面频繁断开/卡顿被暴力破解或多人远程登录4624/4625登录事件、RDP连接数杀毒软件被退出且无法启动被恶意程序禁用服务状态、组策略、映像劫持、驱动文件无法删除提示被占用恶意进程仍在运行Process Explorer句柄查找、挂起进程网络流量异常升高向外传输数据防火墙日志、TCPView、netstat外联IP速查表只是方向不能替代过程排查。遇到复杂情况还是要回到进程、启动项、服务、网络、日志这条主线上来一步一步走。我记得有一次排查了很久没发现的持久化后门最后是在计划任务里看到一个隐藏任务任务名全用空格构成Autoruns里不仔细看根本不会注意所以每次查启动项我都要把每个项目点开。4.3 应急后的加固建议让下一次入侵更麻烦救完火之后真正要做的是加固。如果只是把恶意程序清掉第二天同一个漏洞被扫到攻击者还能再进来。第一件事是补丁更新。很多入侵利用的是系统或第三方软件的已知漏洞Windows Update和厂商安全补丁确认都更新到位尤其是面向公网的服务器。第二件事是账号和安全策略禁用不必要的默认管理员修改所有密码开启账户锁定阈值限制远程登录IP。策略配置可以参考Windows安全基线但不用一次全开先从“攻击面最小化”做起。第三件事是日志和审计。至少把安全日志大小调到足够大开启审核登录事件、审核进程创建、审核对象访问并把日志集中转存到独立的日志服务器或云日志平台。我强烈建议使用Windows事件日志转发这样就算被攻击者clean log主机的日志丢了集端还保留一份。第四件事是关闭不需要的端口和服务尤其是不必要的远程桌面、SMB共享、文件服务端口。对外只开放业务必需的端口内部管理接口建议走带认证的跳板机或堡垒机不要直接暴露在互联网上。这些动作不需要多复杂的设备系统自带防火墙加组策略就能完成。做安全基线检查时我习惯写一个PowerShell脚本检查常用配置项省得每次手动翻界面。4.4 一些我从实战里踩出来的经验最后分享几条个人经验不一定写在哪本教材里但对排查效率影响很大。第一条碰到可疑进程先挂起不要杀。挂起能让它“休眠”你可以在不惊动恶意程序守护逻辑的情况下继续排查。如果直接杀掉就算最后杀干净了你也没法确认它还有没有关联的、潜伏在其他地方的兄弟进程。第二条尽量把采集的命令输出都保存到带时间戳的文件里哪怕当时觉得没用。我吃过亏有一次凭记忆认为某个外连IP是CDN的没存证据后来溯源时发现那是个恶意C2只能靠外部记录补费了很大劲。所有输出都留档后续不管写报告还是做复盘都有依据。第三条排查过程要记录“人、时间、路径、命令”。谁在什么时间执行了什么命令文件路径在哪里账号来自哪里这些信息凑在一起才能还原完整的攻击链。排查不是抓到一个木马就结束而是搞清楚它怎么进来的、做了什么、带走什么。第四条也是最重要的不要只靠杀毒软件。杀毒软件永远是“已知恶意”的检测对付变种、混淆、无文件攻击还是得靠系统侧的行为排查和日志审计。把Windows原生的排查技能练好才能真正在事故里拿回主动权。接到告警那一刻谁都不想但应急响应的价值恰恰在于能冷静地用一套方法找到问题根源。上面这些命令和思路每一条都是我用加班和踩坑换来的。下次你的Windows主机再出现异常先别慌按这套流程走一遍多半能省下大量没必要的重装系统时间。