敏感文件痕迹排查
一、根据时间查找 Forfiles
文件有三个时间:创建时间、修改时间、访问时间。
- 创建时间:文件新建的时间,首次出现在硬盘上的时间。
- 修改时间:文件内容被修改的时间。
- 访问时间:文件最后访问时间,读取、写入、复制或执行的最后时间。
右键文件 - 【属性】-【常规】可以查看文件的创建、修改、访问时间:
攻击者为了掩盖痕迹,通常会用菜刀等工具修改文件的时间信息,比如修改时间比创建时间早,那这个文件就很可疑。
确认事件发生的时间点后,可以查找时间范围内改动过的文件。
比如:查找2023年3月30日以后新增的程序:
forfiles /m *.exe /d +2023/3/30 /s /p c:\ /c:"cmd /c echo @path @fdate @ftime" 2>null
如果everything没有禁用的话,也可以用它搜索文件。
1、访问时间不更新问题
Windows 2003 SP1开始,为了提升性能,关闭了LastAccessTime,这意味着文件的访问时间不会实时更新。
从微软提供的GetFileTime这个API可以发现,LastAccessTime表示文件读取、写入、复制或执行的最后时间,也就是文件属性中的访问时间。
实时记录访问时间意味着:一个文件的读操作,会变成读+写操作,也就是将文件的读取时间写到文件属性和目录索引中,这对性能的影响是巨大的。
FAT文件系统中,创建时间的分辨率为10毫秒,写入时间分辨率为2秒,访问时间分辨率为1天。
NTFS文件系统将访问时间的更新,延迟到上次访问后最多一个小时,并且默认禁用访问时间更新功能。
因此,Windows XP 和 Windows Server 2003 中,访问时间默认在NTFS卷上更新,而后续的Windows版本则不会更新文件的访问时间。
二、最近打开的文件 Recent
Windows默认不记录文件的访问时间,当我们想查看最近访问,也就是最近打开的文件时,可以使用Recent。
Recent用来存放最近使用的文档的快捷方式,以便你再次访问。
不同版本的系统,Recent位置不一致,常见的位置有以下四个:
- C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Recent
- C:\Documents and Settings\Administrator\Recent
- C:\Documents and Settings\Default User\Recent
- C:\Users\Administrator\Recent
也可以使用快速打开的方式: WIN + R ,输入 %UserProfile%\Recent
修改日期那一栏对应文件打开的时间,可以在右上角的搜索栏中,搜索指定文件。
三、临时目录 Temp
Temp是Windows的临时文件夹,用来临时保存用户的文件,以防止数据丢失。用户没来得及保存、删除、移动、复制的文本都会保存到Temp目录下。
Temp文件对当前登录用户具有读写访问权限,会被恶意软件当做提权的暂存地点,即先把脚本上传到Temp目录,再利用Temp目录的权限提权。
Temp路径:C:\Windows\Temp
快速打开方式:WIN + R ,输入 %temp%
重点检查exe、dll、sys文件,或者特别大的文件。
将可疑文件上传到沙箱或情报中心分析,比如:
- 奇安信威胁情报中心:
https://ti.qianxin.com/
- VT文件分析平台:
https://www.virustotal.com/gui/home/upload
四、预读取文件 Prefetch
Prefetch是Windows系统的预读取文件夹,用来存放系统已经访问过的文件的预读信息,以便下次访问时可以更快的加载。
WIN + R ,输入 %systemroot%\Prefetch
,打开预读取文件夹
最后
自我介绍一下,小编13年上海交大毕业,曾经在小公司待过,也去过华为、OPPO等大厂,18年进入阿里一直到现在。
深知大多数网络安全工程师,想要提升技能,往往是自己摸索成长,但自己不成体系的自学效果低效又漫长,而且极易碰到天花板技术停滞不前!
因此收集整理了一份《2024年网络安全全套学习资料》,初衷也很简单,就是希望能够帮助到想自学提升又不知道该从何学起的朋友。
既有适合小白学习的零基础资料,也有适合3年以上经验的小伙伴深入学习提升的进阶课程,基本涵盖了95%以上网络安全知识点!真正的体系化!
如果你觉得这些内容对你有帮助,需要这份全套学习资料的朋友可以戳我获取!!
由于文件比较大,这里只是将部分目录截图出来,每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频,并且会持续更新!
基本涵盖了95%以上网络安全知识点!真正的体系化!**
如果你觉得这些内容对你有帮助,需要这份全套学习资料的朋友可以戳我获取!!
由于文件比较大,这里只是将部分目录截图出来,每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频,并且会持续更新!