浅谈Windows入侵检查

1 准备工作

 

检查人员应该可以物理接触可疑的系统。因为黑客可能侦测到你可以在检查系统，例如网络监听，所以物理接触会比远程控制更好。

为了当做法庭证据可能需要将硬盘做实体备份。如果需要，断开所有与可疑机器的网络连接。

做入侵检查时，检查人员需要一台PC对检查的过程进行检查项目的结果记录。

请维护可疑服务器人员或者PC使用人员来配合，来确定机器上运行的服务和安装的软件，便于安全检查人员提交检查的效率和准确性。

2 基本检查点

 

检测不正常账户

查找被新增的账号，特别是管理员群组的（Administrators group）里的新增账户。

C:\lusrmgr.msc

C:\>net localgroup administrators

C:\>net localgroup administrateurs

查找隐藏的文件

在系统文件夹里查看最近新建的文件，比如C:\Windows\system32.

C:\>dir /S /A:H

检查注册表启动项

在Windoows 注册表里查看开机启动项是否正常，特别一下注册表项：

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

HKLM\Software\Microsoft\Windows\CurrentVersion\Runonce

HKLM\Software\Microsoft\Windows\CurrentVersion\RunonceEx

检查不正常的服务

检查所有运行的服务，是否存在伪装系统服务和未知服务，查看可执行文件的路径。

检查账户启动文件夹

例如：Windows Server 2008

C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\StartMenu\Programs\Startup

查看正在连接的会话

C:\net use

检查计算机与网络上的其它计算机之间的会话

C:\net session

检查Netbios连接

C:\nbtstat –S

检查系统不正常网络连接

C:\netstat –nao 5

检查自动化任务

检查计划任务清单中未知的计划

C:\at

检查windows日志中的异常

检查防火墙、杀毒软件的事件，或任何可疑的记录。

检查大量的登入尝试错误或是被封锁的账户。
www服务器导入Web访问日志，并查看分析Web访问日志是否完整有攻击痕                             迹。

检查www目录是否存在webshell网页木马，重点检查类似upload目录。

3.检查木马和后门

关于检查高级的木马和后门应依次检查这几项：启动项、进程、模块、内核、服务函数、联网情。使用工具更进一步检查隐藏木马和后门程序，可以使用PChunter

打开界面点击进程，我先对进程进行排查，随便选中一个进程右键菜单点击校验所有数字签名，pchunter会以不同的颜色来显示不同的进程种类。

数字签名是微软的进程：黑色

数字签名非微软的进程：蓝色

微软的进程,如果有些模块是非微软的：土黄色

没有签名的模块：粉红色

可疑进程，隐藏服务、被挂钩函数：红色

重点对数字签名不是微软的进程和驱动排查，尤其是无签名斌并隐藏服务、被挂钩的函数的进程和驱动，如：

对此驱动文件比较怀疑，可以右键点击pchunter在线分析上传到virscan扫描一下。

结果

4 检测注意项

如果这台机器业务很重要不能被切断网络连接，要备份所有重要的资料避免黑客注意到正在检测而删除文件。

如果这台机器业务不是很重要建议切断网络连接做物理隔离，将整个硬盘进行外置存储复制镜像。可以使用EnCase或者dd等。

尝试找出黑客活动的证据：

l  找到攻击者使用过的文件，包含被删除的文件（使用取证工具）查看这些文件做了什么，了解它的功能。

l  检查最近被存取的所有档案。

l  查找是否有远程控制或后门之类的传播。

l  尝试找出攻击者如何进入系统。所以可能都要考虑到。

l  修复攻击者利用的漏洞。

5.修复

不论攻击者入侵系统到什么程度以及安全检测人员检查的收攻击的了解，只要系统被渗透过，最好的方法就是用原始工具重新安装系统。然后在新系统上安装所有的补丁，www服务器按照安全标准配置目录权限和配置文件。

改变所有系统账号的密码

检查恢复那些已经被攻击者篡改的文件。