0x00 前言

​ 当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解决方案与防范措施,为企业挽回或减少经济损失。

常见的应急响应事件分类:

web入侵:网页挂马、主页篡改、Webshell

系统入侵:病毒木马、勒索软件、远控后门

网络攻击:DDOS攻击、DNS劫持、ARP欺骗

针对常见的攻击事件,结合工作中应急响应事件分析和解决的方法,总结了一些Window服务器入侵排查的思路。

0x01 入侵排查思路

  • 一、检查系统账号安全

    • 1、查看服务器是否有弱口令,远程管理端口是否对公网开放。

      • 检查方法:据实际情况咨询相关服务器管理员。

    • 2、查看服务器是否存在可疑账号、新增账号。

      • 检查方法:打开 cmd 窗口,输入lusrmgr.msc命令,查看是否有新增/可疑的账号,如有管理员群组的(Administrators)里的新增账户,如有,请立即禁用或删除掉。

    • 3、查看服务器是否存在隐藏账号、克隆账号。

      • 检查方法:

        a、打开注册表 ,查看管理员对应键值。

        b、使用D盾_web查杀工具,集成了对克隆账号检测的功能。

    • 4、结合日志,查看管理员登录时间、用户名是否存在异常。

      • 检查方法:

        a、Win+R打开运行,输入“eventvwr.msc”,回车运行,打开“事件查看器”。

        b、导出Windows日志--安全,利用Log Parser进行分析。

  • 二、检查异常端口、进程

    • 1、检查端口连接情况,是否有远程连接、可疑连接。

      • 检查方法:

        a、netstat -ano 查看目前的网络连接,定位可疑的ESTABLISHED

        b、根据netstat 定位出的pid,再通过tasklist命令进行进程定位 tasklist | findstr “PID”

    • 2、进程

      • 检查方法:

        a、开始--运行--输入msinfo32,依次点击“软件环境→正在运行任务”就可以查看到进程的详细信息,比如进程路径、进程ID、文件创建日期、启动时间等。

        b、打开D盾_web查杀工具,进程查看,关注没有签名信息的进程。

        c、通过微软官方提供的 Process Explorer 等工具进行排查 。

        d、查看可疑的进程及其子进程。可以通过观察以下内容:

        没有签名验证信息的进程
        没有描述信息的进程
        进程的属主
        进程的路径是否合法
        CPU或内存资源占用长时间过高的进程
    • 3、小技巧:

      ​ a、查看端口对应的PID: netstat -ano | findstr “port”

      ​ b、查看进程对应的PID:任务管理器--查看--选择列--PID 或者 tasklist | findstr “PID”

      ​ c、查看进程对应的程序位置:

      ​ 任务管理器--选择对应进程--右键打开文件位置

      ​ 运行输入 wmic,cmd界面 输入 process

      ​ d、tasklist /svc 进程--PID--服务

      ​ e、查看Windows服务所对应的端口: %system%/system32/drivers/etc/services(一般%system%就是C:\Windows)

  • 三、检查启动项、计划任务、服务

    • 1、检查服务器是否有异常的启动项。

      • 检查方法:

      a、登录服务器,单击【开始】>【所有程序】>【启动】,默认情况下此目录在是一个空目录,确认是否有非业务程序在该目录下。b、单击开始菜单 >【运行】,输入 msconfig,查看是否存在命名异常的启动项目,是则取消勾选命名异常的启动项目,并到命令中显示的路径删除文件。c、单击【开始】>【运行】,输入 regedit,打开注册表,查看开机启动项是否正常,特别注意如下三个注册表项:HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\runHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce检查右侧是否有启动异常的项目,如有请删除,并建议安装杀毒软件进行病毒查杀,清除残留病毒或木马。

      d、利用安全软件查看启动项、开机时间管理等。

      e、组策略,运行gpedit.msc。

      2、检查计划任务

      • 检查方法:

      a、单击【开始】>【设置】>【控制面板】>【任务计划】,查看计划任务属性,便可以发现木马文件的路径。

      b、单击【开始】>【运行】;输入 cmd,然后输入at,检查计算机与网络上的其它计算机之间的会话或计划任务,如有,则确认是否为正常连接。

    • 3、服务自启动

      • 检查方法:单击【开始】>【运行】,输入services.msc,注意服务状态和启动类型,检查是否有异常服务。

  • 四、检查系统相关信息

    • 1、查看系统版本以及补丁信息

      • 检查方法:单击【开始】>【运行】,输入systeminfo,查看系统信息

    • 2、查找可疑目录及文件

      • 检查方法:

        a、 查看用户目录,新建账号会在这个目录生成一个用户目录,查看是否有新建用户目录。

        ​ Window 2003 C:\Documents and Settings

        ​ Window 2008R2 C:\Users\

        b、单击【开始】>【运行】,输入%UserProfile%\Recent,分析最近打开分析可疑文件。

        c、在服务器各个目录,可根据文件夹内文件列表时间进行排序,查找可疑文件。

  • 五、自动化查杀

    • 病毒查杀

      • 检查方法:下载安全软件,更新最新病毒库,进行全盘扫描。

    • webshell查杀

      • 检查方法:选择具体站点路径进行webshell查杀,建议使用两款webshell查杀工具同时查杀,可相互补充规则库的不足。

  • 六、日志分析

    • 系统日志

      • 分析方法:

        a、前提:开启审核策略,若日后系统出现故障、安全事故则可以查看系统的日志文件,排除故障,追查入侵者的信息等。

        b、Win+R打开运行,输入“eventvwr.msc”,回车运行,打开“事件查看器”。

        C、导出应用程序日志、安全日志、系统日志,利用Log Parser进行分析。

    • WEB访问日志

      • 分析方法:

        a、找到中间件的web日志,打包到本地方便进行分析。

        b、推荐工具:Window下,推荐用 EmEditor 进行日志分析,支持大文本,搜索效率还不错。

        ​ Linux下,使用Shell命令组合查询分析

0x03 工具篇

最后

欢迎关注个人微信公众号:Bypass--,每周原创一篇技术干货。 

参考链接:

https://cloud.tencent.com/document/product/296/9605

https://www.cnblogs.com/shellr00t/p/6943796.html

https://www.exehack.net/5106.html

windows应急响应入侵排查思路的更多相关文章

  1. Linux应急响应入侵排查思路

    0x00 前言 ​ 当企业发生黑客入侵.系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解 ...

  2. Linux应急响应--入侵排查

    1.入侵者可能会删除机器的日志信息,可以查看日志信息是否还存在或者是否被清空,相关命令示例: ll -h /var/log/*  系统日志一般都存在/var/log下常用的系统日志如下:核心启动日志: ...

  3. 6.【应急响应】Linux入侵排查思路

    0x01 入侵排查思路 一.账号安全 基本使用: 1.用户信息文件/etc/passwd root:x:0:0:root:/root:/bin/bash account:password:UID:GI ...

  4. 1.Windows入侵排查思路

    0x00 前言 当企业发生黑客入侵.系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解决方 ...

  5. 【命令汇总】Windows 应急响应

    日期:2019-06-07 16:11:49 作者:Bay0net 介绍:Windows 应急响应.取证及溯源相关内容学习记录 0x00.前言 常见的应急分类: web入侵:网页挂马.主页篡改.Web ...

  6. Windows应急响应常识

    Windows 应急响应 常见事件ID 1102 清理审计日志 4624 账号登陆成功 4625 账号登陆失败 4672 授予特殊权限 4720 创建用户 4726 删除用户 4728 将成员添加到启 ...

  7. Windows应急响应和系统加固(2)——Windows应急响应的命令使用和安全检查分析

    Windows应急响应的命令使用和安全检查分析 1.获取IP地址: ·ipconfig /all,获取Windows主机IP地址信息: ·ipconfig /release,释放网络IP位置: ·ip ...

  8. 【应急响应】Windows应急响应入门手册

    0x01 应急响应概述   首先我们来了解一下两个概念:应急响应和安全建设,这两者的区别就是应急响应是被动响应.安全建设是主动防御.  所谓有因才有果,既然是被动的,那么我们在应急响应的时候就得先了解 ...

  9. Windows应急响应操作手册

    查看表征异常 系统卡慢.宕机.CPU和内存占用高.网络拥塞或断网.磁盘空余空间无理由大幅度缩小等,根据以上表征,可以初步猜测系统面临的问题. windows 下查看系统基本信息 PS C:\Users ...

随机推荐

  1. In R, how to split/subset a data frame by factors in one column?

    按照某列的值拆分data.frame My data is like this (for example): ID Rate State 1 24 AL 2 35 MN 3 46 FL 4 34 AL ...

  2. SpannableString

    http://blog.csdn.net/fengkuanghun/article/details/7904284 背景介绍 在开发应用过程中经常会遇到显示一些不同的字体风格的信息犹如默认的LockS ...

  3. 关于Unity中的模型描边与Shader切换(专题二)

    模型描边 1: LOL里面的模型描边效果,点击防御塔会有描边的效果,被攻击的时候模型也要描边凸显一下2: 网上可以找到模型描边的Shader,可以直接下载使用,一组第三方的Shader, 帮我们解决了 ...

  4. mysql流程函数if之类

    表名: salary ———————— userid | salary| ———————— 1 | 1000 2 | 2000 3 | 3000 4 | null ... IF(value, t, f ...

  5. qualcomm compile instructions

    qualcomm编译指令 Compile the Entire Android Software source build/envsetup.sh lunch msm8909-userdebug ma ...

  6. MySQL中ALTER ,CHANGE , MODIFY

    ALTER TABLE project_list CHANGE COLUMN descriptionofproj proj_desc VARCHAR(100), CHANGE COLUMN contr ...

  7. 非常酷的CSS3垂直下拉动画菜单

    昨天我向大家介绍了一款兼容性不错的jQuery淡入淡出下拉菜单,今天要分享一款相对绚丽的CSS3垂直下拉动画菜单,不过需要支持CSS3的浏览器才能有效果.下面是效果图,一起看看. 我们也可以在这里查看 ...

  8. 大爱HTML5 9款超炫HTML5最新动画源码

    我们分享过很多漂亮的HTML5动画,包括CSS3菜单.HTML5 Canvas动画等.今天我们精选了9款非常不错的超炫HTML5最新动画及其源码,一起来看看. 1.HTML5可爱的404页面动画 很逗 ...

  9. php模拟post提交请求与调用接口

    /** * 模拟post进行url请求 * @param string $url * @param string $param */ function request_post($url = '', ...

  10. python pip 更换国内安装源(windows)

    1.点击此电脑,在最上面的的文件夹窗口输入 : %APPDATA% 2.按回车跳转到以下目录,新建pip文件夹 3.创建pip.ini文件 4.打开文件夹,输入以下内容,关闭即可(注意:源镜像可替换) ...