系统入侵排查(一) Windows入侵排查

Windows 系统被入侵后，通常会导致系统资源占用过高、异常端口和进程、可疑的账号或文件等，给业务系统带来不稳定等诸多问题。一些病毒木马会随着计算机启动而启动并获取一定的控制权，启动方式多种多样，比如注册表、服务、计划任务等，这些都是需要重点排查的地方。另外，需要重点关注服务器日志信息，并从里面挖掘有价值的信息

系统账号

1. 排查弱口令，可以访谈相关人员询问是否设置弱口令
2. 排查可疑账号、隐藏账号
   • 打开 cmd 窗口，输入lusrmgr.msc命令，打开“本地用户和组”
     • 点击“用户”，查看是否有未知的新增的用户、隐藏用户，如有，请立即禁用或删除掉
       
     • 查看管理员群组（Administrators）里的是否有未知的新增账户，如有，请立即禁用或删除掉
       
3. 排查克隆账号
   • 访问HKEY_LOCAL_MACHINE\SAM ，第一次访问没有权限无法看到SAM下面的内容，需要为Administrator设置完全控制的权限，而后重新打开注册表，即可成功查看
     
   • 访问HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names，即可查看所有用户
     

异常端口与进程

1. 查看有无异常端口连接

• 使用 netstat 查看异常连接，并查找到pid

  使用netstat命令查看本机各端口的网络连接情况
  常用参数：
  -a       显示所有连接和监听端口
  -n       以数字形式显示地址和端口号
  -o       显示与每个连接相关的所属进程 ID
  -p proto       显示 proto 指定的协议的连接，TCP 、UDP等

• 查看有无主机连接该主机重要的端口，例如 22,3389等
• 看连接中的异常 IP 地址，使用微步在线等在线危险情报平台进行检索
  
• 通过使用 tasklist 查找指定进程号的进程
  

2. 检查异常进程

• 打开“任务管理器”，查看资源（CPU、内存、磁盘等）使用率较高的进程
• 使用 “win + r” -> 运行-> 输入 msinfo32 ，打开系统信息，点击“软件环境→正在运行任务”，查看到进程的详细信息，比如进程路径、进程ID、文件创建日期、启动时间等
  

启动项与计划任务

1. 启动项

• 使用 win + r ，打开运行，输入 msconfig，打开系统配置，查看是否存在命名异常的启动项目，若存在则取消勾选命名异常的启动项目，并到命令中显示的路径删除文件
  注意：微软官方在Windows 7以后取消了这个”启动项”，可以设置组策略启用，点击“开始”→“运行”，输入“gpedit.msc”，打开“组策略”→“本地计算机策略”，展开“用户配置→管理模板→系统→登录”，双击“在用户登录时运行这些程序”子项进行属性设置
• 查看注册表，查看以下三个对应项

  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    

  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    

  • HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce
    

2. 计划任务

• 打开“控制面板->管理工具->任务计划程序”，查看有无异常计划任务
  

3. 服务自启动

• win + r ，输入 services.msc，打开服务管理，查看服务启动情况
  

日志分析

1. 主要日志

• %SystemRoot%\System32\Winevt\Logs\System.evtx ，系统日志
• %SystemRoot%\System32\Winevt\Logs\Security.evtx ，安全日志
• %SystemRoot%\System32\Winevt\Logs\Application.evtx ，应用程序日志

2. 查看日志

• 常见事件ID

  4624 登录成功
  4625 登录失败
  4647 用户注销
  4720 创建用户
  4672 使用超级用户（管理员）登录
  4634 注销成功
  7030 服务创建错误
  7040 IPSEC服务的启动类型已从禁用改为自动启动
  7045 服务创建

• 使用 “win + r” 打开运行，输入 eventvwr.msc 直接打开“事件查看器”
  结合Windows安全日志，查看管理员登录时间、用户名是否存在异常。
  根据大量登录失败事件判断出某账号被进行暴力破解
  

文件分析

1. 查看有无新建的用户文件夹

   Window 2003 C:\Documents and Settings
   Window 2007及以后 C:\Users\

2. “win + r”>【运行】，输入%UserProfile%\Recent，分析最近打开分析可疑文件
   

• 根据实际情况排查主机上重要的目录，可根据文件夹内文件列表时间进行排序，查找可疑文件
• 查看回收站、浏览器下载目录、浏览器历史记录
• 查看修改时间在创建时间之前的为可疑文件
• 发现一个WEBSHELL或远控木马的创建时间，可以利用计算机自带文件搜索功能，指定修改时间进行搜索

自动化查杀

病毒查杀
下载安全软件，更新最新病毒库，进行全盘扫描