windows网络应急排查

news2024/11/23 23:19:32

一、系统排查

msinfo32 #GUI显示的系统信息

systeminfo #简单了解系统信息

用户信息排查

排查恶意账号：

黑客喜欢建立相关账号用作远控:

1.建立新账号

2.激活默认账号

3.建立隐藏账号(windows中账号名+$)
cmd方法
net user #打印用户账号信息 ---看不到$结尾的隐藏账号

net user username #查看具体账号信息
GUI方法

lusrmgr.msc #打开GUI的系统账号面板 可以GUI查看所有账号 包括隐藏账号！！！

注册表方法

打开注册表，选择HKEY_LOCAL_MACHINE --> SAM --SAM
右键 权限 ，将当前用户设置为可读写 ，然后F5刷新 ，

就能看到所有用户 ，根据这些信息来找到克隆账号
在这里插入图片描述
在这里插入图片描述

wmic方法

wmic useraccount get name,SID #查找系统中的用户信息 --有点类似UUID的账号唯一标识

启动项

  1. msconfig查看
    在这里插入图片描述
  2. 注册表查看

  • HKEY_CLASSES_ROOT (HKCR) 拖放规则，快捷方式，用户界面等

  • HKEY_CURRENT_USER (HKCU) 当前登录系统的用户配置，用户的文件夹，屏幕颜色，控制面板设置

  • HKEY_LOCAL_MACHINE(HKLM) 硬件信息，驱动器列表，已安装的硬件和应用程序的通用配置

  • HKEY_USERS(HKU) 所有用户配置文件的配置信息，用户配置和可视设置

  • HKEY_CURRENT_CONFIG(HCU) 系统当前配置的信息

计划任务

taskschd.msc #cmd看计划任务

Get-ScheduledTask #powershell看计划任务
在这里插入图片描述

schtasks #cmd查看详细计划任务

二.进程排查

异常进程排查

1. 任务管理器看进程 ，勾选PID和命令行

在这里插入图片描述

2. tasklist查看:

  • tasklist 显示进程

  • tasklist /svc 显示进程和服务的对应关系

  • tasklist /m ntdll.dll 查询进程和 dll调用的关系

  • tasklist /svc /fi "PID eq 992" 查询PID992的进程 和 服务的对应关系

3. netstat查看

网络状态:

  • LISTENING 侦听状态

  • ESTABLISHED #建立连接

  • CLOSE_WAID 对方主动关闭连接 或 连接中断

查看进程 对应的连接 ，最后一位是PID

netstat -ano | findstr "ESTABLISHED"

查到PID后，使用tasklist 定位PID对应的具体程序

tasklist | find "2856" #查询PID 2856对应的程序

netstat -anb #快速定位到端口对应的程序

4. 使用powershell

排查子父进程之间的关系，包括进程名，PID，父进程PID，进程路径

Get-WmiObject WIN32_Process | select Name,ProcessId,ParentProcessId,Path

在这里插入图片描述

5.wmic查看

csv格式查看进程的名称， 父进程PID，子进程PID ,进程目录

wmic process get name ,parentprocessid,processid,ExecutablePath /format:csv

查找PID为808进程的 父进程的 PID

wmic process where processid=808 get parentprocessid

利用wmic process查询到进程之后，用下列命令删除恶意进程
删除名为qq.exe的进程

wmic process where name="qq.exe" call terminate

删除PID为888的进程

wmic process where processid=888 delete

三、服务排查

services.msc

四、文件痕迹排查

1.对恶意软件常用敏感目录排查

2.对时间点前后的文件排查

3.对带有特征的恶意软件排查，包括代码关键字，关键函数，文件权限特征等

1.敏感目录

  • 各个盘下temp (tmp)相关目录

  • 排查浏览器的历史记录，下载文件，cookie

  • 排查用户目录下的Recent文件 ， Recent文件存储最近运行文件的快捷方式

%appdata%\Microsoft\Windows\Recent #资源管理器输入，可查看最近使用的文件

C:\Documents and Settings\Administrator（系统用户名）\Recent

C:\Documents and Settings\Default User\Recent
  • 预读取文件夹查看,资源管理器打开，然后排查里面的文件
%SystemRoot%\Prefetch\
  • 利用amcache.hve文件查询应用程序的执行路径，上次执行的时间和SHA1值
    AmcacheParser软件可以分析amcache.hve文件，使用下面的命令找到文件
%SystemRoot%\appcompat\Programs\

2.时间点查找

  • cmd查找新增文件
    查找C:\目录下 2020年2月12日 后 新增的txt格式 的文件
forfiles /m *.txt /d +2020/2/12 /s /p c:\ /c "cmd /c echo @path @fdate @ftime" 2>null
  • GUI查找新增文件
    资源管理器目录中按照修改日期排序
  • 排查文件的创建时间，修改时间，访问时间
    攻击者会利用工具修改文件的创建时间，重点观察修改时间很早 ，而创建时间很晚 的文件，这种就是有逻辑错误的，被人修改过的文件

3.Webshell

网站防护是重点，webshell通常被用于攻击网站
对webshell的防护可以通过上述种种办法排查，还可以通过D盾，HwsKill，WebshellKill检测

五、日志分析

常见日志位置:

  • 系统日志的位置为 C:\WINDOWS\System32\config\SysEvent.evt；

  • 安全性日志的位置为 C:\WINDOWS\System32\config\SecEvent.evt；

  • 应用程序日志的位置为 C:\WINNT\System32\config\AppEvent.evt。

在 Windows Vista/Windows 7/Windows 8 /Windows 10/Windows Server 2008 及 以上版本系统中：

  • 系统日志的位置为%SystemRoot%\System32\Winevt\Logs\System.evtx；

  • 安全性日志的位置为%SystemRoot%\System32\Winevt\Logs\Security.evtx；

  • 应用程序日志的位置为%SystemRoot%\System32\Winevt\Logs\Application. evtx。

日志种类：

  1. 系统日志：是系统各个组件产生的日志，分为: 驱动，系统组件产生的问题，软件运行产生的问题。

包括重要数据的丢失，错误，系统崩溃行为等。

  1. 安全性日志: 记录安全事件

包括登录,退出系统的成功与失败， 对系统重要文件增删改查

  1. 应用程序日志: 记录软件产生的各种事件

在这里插入图片描述
eventvwr 事件查看器 ，可以看日志
在这里插入图片描述
在这里插入图片描述
登录日志事件的描述如下图，

当检查的时候，按照图就知道 登录信息是我们自身的正常操作， 还是坏人远程进来的危险操作了
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

日志分析

1.利用eventvwr 筛选

在这里插入图片描述

2.利用powershell

powershell管理员模式运行， 查找安全性日志下 ID4625的所有日志(如果要看其他日志就改改参数， 本质上和eventwvr面板操作一样的)

Get-WinEvent -FilterHashtable @{LogName='Security';ID='4625' }

在这里插入图片描述

3.用工具

  • Log Parser 微软官方日志分析工具：
    • Log Parser日志分析工具下载地址：https://link.zhihu.com/?target=https://www.microsoft.com/en-us/download/details.aspx?id=24659
    • 使用示例：https://link.zhihu.com/?target=https%3A//mlichtenberg.wordpress.com/2011/02/03/log-parser-rocks-more-than-50-examples/
      Log Parser由微软公司出品，其功能强大，使用简单，可以分析基于文本的日志文件、XML 文件、CSV（逗号分隔符）文件，以及Microsoft Windows操作系统的事件日志、注册表、文件系统、Active Directory。

除了微软这个以外，还有FullEventLogView （绿色免安装） ，Event Log Explorer可以查看日志

  • LogParser Lizard
    日志分析蜥蜴（LogParser Lizard）带图形界面，其内部封装有logParser命令，这使得操作更为简单，同时集成了
    Infragistics.UltraChart.Core.v4.3、Infragistics.Excel.v4.3.dll等，查询结果可以图表或EXCEL格式展示。与logParser一样，Log Parser Lizard可对服务器日志，网站日志等进行分析，支持基于文本的日志文件，XML文件等内容。
    日志分析蜥蜴下载地址：https://link.zhihu.com/?target=https%3A//lizard-labs.com/log_parser_lizard.aspx
    依赖包Framework 4 .5，下载地址：https://link.zhihu.com/?target=https%3A//www.microsoft.com/en-us/download/details.aspx%3Fid%3D42642
  • Event Log Explorer
    Event Log Explorer是一款非常好用的Windows日志分析工具。可用于查看，监视和分析跟事件记录，包括安全，系统，应用程序和其他微软Windows 的记录被记载的事件，其强大的过滤功能可以快速的过滤出有价值的信息。
    Event Log Explorer下载地址：https://link.zhihu.com/?target=https%3A//event-log-explorer.en.softonic.com/

六、内存分析

1．内存的获取 方法

内存的获取方法有如下几种：

  • 基于用户模式程序的内存获取；

  • 基于内核模式程序的内存获取；

  • 基于系统崩溃转储的内存获取；

  • 基于操作系统注入的内存获取；

  • 基于系统休眠文件的内存获取；

  • 基于虚拟化快照的内存获取；

  • 基于系统冷启动的内存获取；

  • 基于硬件的内存获取。

1）基于内核模式程序的内存获取

要借助相关的工具来完成，工具有 Dumpit、 Redline、RAM Capturer、FTK Imager 等
在这里插入图片描述
在这里插入图片描述

2）基于系统崩溃转储的内存获取 打开【系统属性】对话框，选择【高级】选项卡，单击【启动和故障恢复】 中的【设置】按钮，打开【启动和故障恢复】对话框，选择【核心内存转储】并 找到转储文件进行获取。

在这里插入图片描述

3）基于虚拟化快照的内存获取 这种获取方法是通过 VMware Workstation、ESXI 等虚拟化软件实现的。

VMware Workstation 在生成快照时会自动生成虚拟内存文件
在这里插入图片描述

2．内存的分析

1）Redline

在这里插入图片描述

2）Volatility

Volatility 是一个开源的内存取证工具，可以分析入侵攻击痕迹，包括网络 连接、进程、服务、驱动模块、DLL、handles、进程注入、cmd 历史命令、 IE 浏览器历史记录、启动项、用户、shimcache、userassist、部分 rootkit 隐 藏文件、cmdliner 等。

  • 使用volatility打开内存文件，排查内存文件的网络连接
volatility -f /root/desk/20230701.mem --profile=Win2008R2SP1x64 netscan

在这里插入图片描述

注意按照实际路径来 ，然后后面要跟着实际的操作系统名称

  • 使用volatility打开内存文件，排查内存文件的隐藏进程
volatility -f /root/desk/20230701.mem --profile=Win2008R2SP1x64 psxview
  • 使用volatility打开内存文件，排查隐藏或注入的代码,DLL
volatility -f /root/desk/20230701.mem --profile=Win2008R2SP1x64 malfind
  • 使用volatility打开内存文件，提取进程文件
volatility -f /root/desk/20230701.mem --profile=Win2008R2SP1x64 procdump
  • 使用volatility打开内存文件，提取PID为2476的进程文件
volatility -f /root/desk/20230701.mem --profile=Win2008R2SP1x64 procdump -p 2476 -D

可以分析内存中提取出的文件，从而判别文件是否有恶意行为。
最简单的方法是把提取出的文件上传到 virustotal 平台并进行扫描

六、流量分析

Wireshark

小框这里可以筛选
在这里插入图片描述

  • ip.addr ==ip #过滤IP

  • ip.src==ip #过滤源IP

直接输入 HTTP、HTTPS、SMTP、ARP 等协议进行筛选

使用【top.port== 端口号】或【udp.port == 端口号】命令，可对端口进行 过滤。使用【tcp.port == 445】命令对 445 端口进行过滤，

使用【tcp contains strings】命令，可对数据包中的关键字进行检索，对 流量中包含某一关键字的数据包进行筛选。使用【tcp contains baidu】命令筛选 baidu 关键字

工具：

SysinternalsSuite #微软官方出品的工具合集

PCHunter: 是一个强大的内核级监控工具，可以查看进程、驱动模块、内核、 网络、注册表、文件等信息

火绒剑： 同上

PowerTool 同上

Process Monitor ： 可以监控程序的各种操作，其中主要监控程序的文件系统、 注册表、进程、网络、分析。Event Log Explorer ：查看、监视和分析日志

FullEventLogView 是一个轻量级的日志检索工具，并可将事件导出为 text、csv、tab-delimited、html、xml 等格式文件

Log Parser :微软的日志查看工具

ThreatHunting 是观星实验室开发的工具，可以对日志、进程、Webshell 等进 行检测

WinPrefetchView 是一个预读文件（Prefetch 文件）查看器，用于读取储存在 系统中的预读文件，

WifiHistoryView 是一个自动读取系统里无线网络连接记录的工具，运行后可 以查看连接的时间、事件发生的类型、所用到的网卡、连接上的网络 SSID 名称、 加密类型等信息

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1943907.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

postgresql 使用navicat 导出报 gs_package 关系不存在问题解决。

postgresql 使用navicat 导出报 gs_package 关系不存在问题解决。

1. 问题描述 临时接手的项目，使用的数据库是postgresql，使用navicat 17 Lite 免费版，导出就会报如下图所示的错误：2. 尝试的办法： 1) 换navicat 17 和navicat 17 for postgresql 试用版本 还是一样的错误。 2) 换pos…
阅读更多...
大数据-43 Redis 功能扩展 Lua 脚本 对Redis扩展 eval redis.call redis.pcall

大数据-43 Redis 功能扩展 Lua 脚本 对Redis扩展 eval redis.call redis.pcall

点一下关注吧！！！非常感谢！！持续更新！！！ 目前已经更新到了： Hadoop（已更完）HDFS（已更完）MapReduce（已更完&am…
阅读更多...
运维团队如何借助分布式部署提升监控效率与可靠性

运维团队如何借助分布式部署提升监控效率与可靠性

随着企业IT基础设施的日益复杂和分布式架构的广泛应用，传统的监控解决方案已经难以满足现代运维团队的需求。在这样的背景下，分布式部署作为一种新型的监控架构，以其灵活性、可扩展性和高可用性，成为了运维团队提升监控效率与可靠…
阅读更多...
uni-app pinia搭建

uni-app pinia搭建

1.新建store文件 新建index.js，代码： // import { // createPinia // } from pinia //const store createPinia() import * as Pinia from pinia const pinia Pinia.createPinia() export * from "./modules/user" export * from ".…
阅读更多...
MATLAB算法实战应用案例精讲-【数模应用】Kappa一致性检验（附MATLAB、python和R语言代码实现）

MATLAB算法实战应用案例精讲-【数模应用】Kappa一致性检验（附MATLAB、python和R语言代码实现）

目录 前言 算法原理 Kappa系数 什么是一致性检验？ 如何完成一致性检验？ （一）ICC组内相关系数 （二）Kappa一致性系数 （三）Kendall W 协调系数 （四）Bland-Altman图 检验一致性方法 SPSS SPSSAU 一、案例介绍 二、问题分析 三、软件操作及结果解读 四、结…
阅读更多...
【中项】系统集成项目管理工程师-第4章 信息系统架构-4.8云原生架构

【中项】系统集成项目管理工程师-第4章 信息系统架构-4.8云原生架构

前言：系统集成项目管理工程师专业，现分享一些教材知识点。觉得文章还不错的喜欢点赞收藏的同时帮忙点点关注。 软考同样是国家人社部和工信部组织的国家级考试，全称为“全国计算机与软件专业技术资格（水平）考试”&…
阅读更多...
【BUG】已解决：ValueError: All arrays must be of the same length

【BUG】已解决：ValueError: All arrays must be of the same length

ValueError: All arrays must be of the same length 目录 ValueError: All arrays must be of the same length 【常见模块错误】 【解决方案】 问题原因 解决方法 欢迎来到英杰社区https://bbs.csdn.net/topics/617804998 欢迎来到我的主页，我是博主英杰&…
阅读更多...
Transformer论文理解

Transformer论文理解

学习一个东西之前首先要明白要去了解什么？ 概念（组成），性质，特点，作用（用处） 概念： transformer是一种自然语言处理(NLP)和其他序列到序列（seq2seq)任务&…
阅读更多...
大数据技术--实验01-Hadoop的安装与使用【实测可行】

大数据技术--实验01-Hadoop的安装与使用【实测可行】

使用下面表中的软件版本进行配置： 准备好后，按照下面的步骤进行配置。 配置VMware网络 在VMWare主界面，点击“编辑”>“虚拟网络编辑”菜单进入虚拟网卡参数设置界面。选择VMnet8条目，点击“NAT设置”按钮后可以看到我们的VM…
阅读更多...
遇到not allow unquoted fieldName怎么办

遇到not allow unquoted fieldName怎么办

前言 Exception in thread "main" com.alibaba.fastjson2.JSONException: not allow unquoted fieldName, offset 2, character , line 1, column 3, fastjson-version 2.0.25 { "data":null, "code":200, "msg":"成功"…
阅读更多...
使用Django Rest Framework构建API

使用Django Rest Framework构建API

Django Rest Framework (DRF) 是一个强大且灵活的工具集，用以构建Web API。它基于Django，一个非常流行的Python Web框架。在本文中，我们将深入探讨如何使用DRF来构建一个高效、结构化的API。 目录 使用Django Rest Framework构建API 一、环…
阅读更多...
c#Action委托和Func委托

c#Action委托和Func委托

using System; using System.Collections.Generic; using System.Linq; using System.Text; using System.Threading.Tasks;namespace Action委托 {internal class Program{static void PrintString(){Console.WriteLine("hello world.");}static void PrintInt(int …
阅读更多...
我的Google Vertex AI实践经验分享

我的Google Vertex AI实践经验分享

我的Google Vertex AI实践经验分享 前言 作为一名忙碌的开发者，我时常希望能减少睡眠时间以完成更多工作。在这个过程中，我尝试了多种方法，并设计了多个概念验证项目。本文分享了我在使用Google的生成式AI服务Vertex AI时的实践经验。需要注…
阅读更多...
秋招突击——7/22——复习{堆——前K个高频元素}——新作{回溯——单次搜索、分割回文串。链表——环形链表II，合并两个有序链表}

秋招突击——7/22——复习{堆——前K个高频元素}——新作{回溯——单次搜索、分割回文串。链表——环形链表II，合并两个有序链表}

文章目录 引言复习堆堆——前K个高频元素个人实现复习实现二参考实现 新作单词搜索个人实现参考实现 分割回文串个人实现参考实现 环形链表II个人实现参考实现 两个有序链表个人实现 总结 引言 又是充满挑战性的一天，继续完成我们的任务吧！继续往下刷&a…
阅读更多...
学习React(状态管理)

学习React(状态管理)

随着你的应用不断变大，更有意识的去关注应用状态如何组织，以及数据如何在组件之间流动会对你很有帮助。冗余或重复的状态往往是缺陷的根源。在本节中，你将学习如何组织好状态，如何保持状态更新逻辑的可维护性，以及如何…
阅读更多...
【SpingCloud】客户端与服务端负载均衡机制，微服务负载均衡NacosLoadBalancer， 拓展：OSI七层网络模型

【SpingCloud】客户端与服务端负载均衡机制，微服务负载均衡NacosLoadBalancer， 拓展：OSI七层网络模型

客户端与服务端负载均衡机制 可能有第一次听说集群和负载均衡，所以呢，我们先来做一个介绍，然后再聊服务端与客户端的负载均衡区别。 集群与负载均衡 负载均衡是基于集群的，如果没有集群，则没有负载均衡这一个说法。 …
阅读更多...
CSS：顶部导航栏固定位置、分类标题栏、底部提示文案固定位置

CSS：顶部导航栏固定位置、分类标题栏、底部提示文案固定位置

一、效果图 页面body的css代码 body {position: absolute;width: 100%;height: 100vh;padding: 0;margin: 0;top: 0;left: 0;bottom: 0;background-color #eee;/* overflow: auto;overflow-y: scroll; *//* ::-webkit-scrollbar {display: none;} */ }.content-root {width: 1…
阅读更多...
python多进程加速函数运行

python多进程加速函数运行

python多进程运行可以使函数运行在程序主进程以外，减少主进程的调用，并且可以加速子进程的运行速度   为了测试多进程的加速效果，我们可以通过创建一个包含计算密集型任务的函数，并使用多进程来并行执行这些任务。我们将对比单进…
阅读更多...
Telegram曝零日漏洞，可伪装成视频攻击安卓用户

Telegram曝零日漏洞，可伪装成视频攻击安卓用户

ESET Research在一个地下论坛上发现了一个针对Android Telegram的零日漏洞广告。 ESET将该漏洞命名为“EvilVideo”，并将其报告给Telegram，Telegram于7月11日更新了该应用程序。 EvilVideo允许攻击者发送恶意的有效载荷，这些载荷以视频文件…
阅读更多...
《白话机器学习的数学》第2章——学习回归

《白话机器学习的数学》第2章——学习回归

2.1设置问题 1.机器学习所做的事情正是从数据中进行学习，然后给出预测值。 2.2定义模型 1.一次函数的表达式： 其中θ叫做参数。 在统计学领域，人们常常使用 θ 来表示未知数和推测值。采用 θ加数字下标的形式，是为了防止当未知数…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023