Web服务器管理系列：5、利用MSConfig排查木马

最新推荐文章于 2024-03-18 13:14:18 发布
最新推荐文章于 2024-03-18 13:14:18 发布
阅读量973 收藏 1
点赞数
分类专栏： 服务器 文章标签： msconfig 操作系统 web服务器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/tiandi_5000/article/details/31071677
版权
服务器 专栏收录该内容
19 篇文章 0 订阅 ¥9.90 ¥99.00
订阅专栏
本文介绍了如何利用MSConfig工具来排查可能潜藏在Web服务器中的木马程序。通过在命令行输入msconfig，选择服务项并隐藏Microsoft服务，可以快速定位到不熟悉的服务，这些可能是潜在的木马。同时，检查启动项可以帮助发现启动时加载的可疑程序。
摘要由CSDN通过智能技术生成

木马程序最喜欢去的地方有两个一个是服务里面，一个是启动里面。利用msconfig我们可以快速的找到可疑程序。

 

在命令行中输入msconfig回车

选择服务项：

 

这里面的服务有很多我们很难排查，我告诉大家个好办法，选中“隐藏所有Microsoft服务”前面的复选框：

了解本专栏 订阅专栏 解锁全文
HelloAke
关注
专栏目录
订阅专栏
《网络安全自学教程》- 挖矿病毒排查思路和处置步骤
wangyuxiang946的博客
05-05 2万+
首先根据CPU占用率确定确定挖矿进程，找到母体文件并清除。 而后是检查计划任务、启动项中，挖矿木马的持久化操作，杜绝复发。 最后通过账号、日志、母体文件等信息，溯源攻击路径。
linux和windows木马排查思路
qq_40770143的博客
10-23 2375
一般常见的黑客入侵途径 1、主机远程连接端口暴露在互联网并存在弱口令，被黑客暴力破解后获取主机权限。 2、主机部署数据库后连接端口暴露互联网，数据库账号弱口令，被黑客入侵数据后提权获取主机权限。 3、部署业务存在应用漏洞，被黑客利用植入webshell，控制主机。 一、windows系统排查木马处理流程： 1、procexp.exe 开启virtual在线查杀,发现木马进程。 2、procexp....
如何排查木马
隐身博客
01-11 903
如果你发现了陌生的或者恶意的进程，可以将其结束，并在搜索引擎上搜索该进程的名称，了解更多相关信息。7. 使用专业的排查工具：除了杀毒软件，还可以使用一些专业的排查工具，如Rootkit Revealer、Malwarebytes Anti-Malware等，这些工具可以帮助发现和清除隐藏的木马程序。检查是否有陌生的网络连接，特别是对于远程控制或远程访问服务，如果发现可疑的连接，可以禁用它们。1. 更新和扫描杀毒软件：确保你的电脑上安装了最新版本的杀毒软件，并进行全盘扫描，以便检测和删除任何潜在的木马程序。
服务器病毒木马通用排查处理应急响应流程
最新发布
it知识分享 free for nothing..
03-18 2268
服务器病毒木马通用排查处理应急响应流程
一次简单的排查木马（查找端口号的进程PID）
11-07 537
单位做了杀毒和漏扫服务器，想如果想远程一台机器（以下称为C），那么C开的远程端口如果不是默认端口，用漏扫能扫出C的所有开放端口吗？于是新建一个任务，指定只扫C机的IP，哦豁，竟然有个特洛伊木马，说开在6000端口，有个未知的服务。 在哪里呢？打开服务（services.msc），上下看了看，没找着！于是禁用了防火墙所有的入站、出站规则，先慢慢找吧 接着，打开cmd窗口，输入"netstat -ano"，果然发现了一个本地的源端口6000，已经与本地的一个高位端口建立联接，它的进程号是9152，于是找这个
服务器肉鸡/入侵被恶意利用的排查和优化方案
yunhan0609的博客
07-05 1201
排查方法： 1.账户方面： Windows： （1） 检查服务器内是否有异常的账户，查看下服务器内是否有非系统和用户本身创建的账户，一般黑客创建的账户账户名 后会有$这个字符，有此类账户存在，请立即禁用或者删除掉； （2） 黑客也可能在您服务器内创建隐藏用户，隐藏账户在本地用户内是查看不到的，您可以在服务器内点击开始-运行-输入 regedt32.exe，依次选择HKEY_LOCAL_MACHIN...
网络安全——应急响应之入侵排查
W981113的博客
02-14 7211
一、windows入侵排查 1.入侵排查思路 1.1 检查系统账号安全 1.查看服务器是否有弱口令、远程管理端口是否对公网开放 （根据实际情况咨询相关服务器管理员） 2.检查服务器是否存在可疑账号、新增账号 （打开cmd窗口，输入lusrmgr.msc命令，查看是否有可疑或者新增的账号，若存在管理员Administrators群组内新增的账户，请立即禁用或者删除） 3.查看服务器注册表是否存在隐藏账号、克隆账号 （打开注册表–regedit.exe或者regedit，查看管理员对应键值） （使用D盾查杀
服务器被攻击 常见的服务器攻击方式有哪些
weixin_67757219的博客
11-29 2811
打开CMD netstat -an 检查当前系统的连接情况，查看是否存在一些恶意的IP连接，比如开放了一些不常见的端口，正常是用到80网站端口，8888端口，21FTP端口，3306数据库的端口，443 SSL证书端口，9080 java端口，22 SSH端口，3389默认的远程管理端口，1433 SQL数据库端口。有很多方法可以攻击它。通过服务器日志检查管理员账号的登录是否存在恶意登录的情况，检查登录的时间，检查登录的账号名称，检查登录的IP，看日志可以看680.682状态的日志，逐一排查。
服务器被攻击排查
小树苗
05-08 1158
第一步：断网保数据 1.切断网络 所有的攻击都来自于网络，因此，在得知系统正遭受黑客的攻击后，首先要做的就是断开服务器的网络连接，这样除了能切断攻击源之外，也能保护服务器所在网络的其他主机。 2、备份用户数据 在服务器遭受攻击后，需要立刻备份服务器上的用户数据，同时也要查看这些数据中是否隐藏着攻击源。如果攻击源在用户数据中，一定要彻底删除，然后将用户数据备份到一个安全的地方。 第二步：检...
windwos系统安全手工排查以及朔源应急响应技巧
it知识分享 free for nothing..
09-14 639
共享目录登录记录位于windows安全日志中，登录类型为3，常见的基于共享目录的攻击行为是IPC爆破，若爆破成功，攻击者可以将受攻击主机的磁盘文件映射到本地，造成信息泄露。注意：有时候登录记录会十分多，分析起来难度大，因此我们可以根据前期收集到的信息来帮助我们缩小审计范围，比如异常现象发生的时间，恶意文件创建的时间等，可在这类时间点附近查找异常的登录记录。隐藏模块往往也是动态库模块，但它肉眼观察不到（Windows系统工具看不到，PCHunter等工具也看不到），是很隐蔽的一种手段，属于难查难杀的类型。
开机自动运行的位置和木马运行方式
http://www.softwareace.cn 王牌软件
04-28 746
1. 把程序或快捷方式放在 C:\Documents and Settings\你的用户名\「开始」菜单\程序\启动\ 2. 注册表位置： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ru
Msconfig中的“启动”有那么多项，究竟哪些是系统必要的呢
技术点滴
08-17 1399
Msconfig中的“启动”有那么多项，究竟哪些是系统必要的呢答：经常有网友来询问,为何我的开机会弹出窗口,而我一般会答复对方,开始-运行-msconfig-启动,把网址钩掉,还有hta后缀的htm后缀的url后缀的都钩去,而有的网友会询问为何启动后本来修复好的项目又被改了,我会回复开始-运行-msconfig-启动,把关于regedit/s的钩去,不过道高1米,魔高1.1米,我们往往会漏掉什
Linux CentOS 7.2 排查系统木马
jayhidden的专栏
01-28 3094
从未在Linuxxito系统上排查过木马，今天遇到了，记录一下。 首先发现redis里的数据被篡改了，并且 crontab -l 查看计划任务，发现root用户多了像wget，curl这样访问外部链接的东西，然后/var/spool/cron下多了很多tempxxxx.rdb这样的文件，还有.swm,swo文件??? 打开其中的一个rdb文件，又发现了是在远程下载一个sh文件，怀疑这可能是...
排查服务器被黑的一些方法
08-09 792
1.awk -F: '{if($3==0 || $4==0) {print $0} }' /etc/passwd #查看用户和组为0的用户 2.stat filename 查看可疑文件日期 4.对服务器异常进程进行检查 netstat -anpt,检查异常IP连接，查询ip归属地如果是国外的，查询pid ，lsof -p pid 查看进程打开了哪些文件，查询当前占用cpu 大于30%的进程，top 大写P，检查该进程所在目录，ll /proc/pid，其中cwd是程序运行目录，exe是程序...
记一次服务器被植入木马/病毒：kdevtmpfsi
Ying的博客
07-26 1680
服务器告警 今天(2020-07-26)中午12:50左右，手机微信收到了腾讯云的安全告警通知，说是服务器检测到木马文件，于是登陆腾讯云看了下 尝试处理 百度了一下kdevtmpfsi，发现是一个挖矿病毒，而且受害者还不少，通常会占用高额的CPU、内存资源，但是我奇怪的是，我查了服务器监控，仅仅是受到攻击的几分钟内CPU使用率有大概10%的上涨而已，并没有网上博文说的那么严重 然后也去查了下系统进程 ps -aux | grep kdevtmpfsi ps -aux | grep kinsing 说明
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值