进程排查
1、任务管理器
打开任务管理器,添加命令行和路径名称等进程页列,获得更多进程相关信息。
可通过关注进程的路径名称和命令行是否可以判断。如图为挖矿病毒
挖矿病毒允许时页伴随着CPU占用飙升的情况
2、tasklist
使用tasklist
命令可查看所有进程信息
使用tasklist /svc
可以显示进程与服务的对应情况
使用tasklist /m
可显示进程与其加载的DLL
DLL(动态链接库)是Windows系统中的一种共享库,与代码概念中的类有一定思维上的重合,大致用于代码重用,模块化设计,更新维护等功能
使用tasklist /m 名称
可以查询调用指定DLL的进程
tasklist还有过滤器的功能、使用if
命令进行条件筛选,结合关系运算符等命令进行有效过滤
- eq:等于(Equal to)
- ne:不等于(Not equal to)
- gt:大于(Greater than)
- lt:小于(Less than)
- ge:大于或等于(Greater than or equal to)
- le:小于或等于(Less than or equal to)
使用tasklist /svc /fi "PID eq 900
来查找PID为900的进程及其对应的服务
3、netstat
netstat
命令可显示网络连接信息,常用参数有:
- -a:显示所有连接和监听端口。
- -n:以数字形式显示地址和端口号,而不进行域名解析。
- -o:显示每个连接的进程 ID(PID)。
- -b:显示每个连接的进程可执行文件的名称(需要管理员权限)。
- -p:显示与指定协议相关的连接和监听端口。可选的协议参数包括 TCP、UDP、TCPv6 和 UDPv6。
- -s:显示统计信息,如协议、IPv4 和 IPv6 的统计数据。
- -r:显示路由表信息。
- -e:显示以太网统计数据,如接收和发送的数据包数。
- -t:显示当前正在进行的 TCP 连接。
- -u:显示当前正在进行的 UDP 连接。
- -f:显示完整的 FQDN(完全限定域名)。
- -q:显示监听队列的长度。
- -c:持续显示选定的信息,每隔一段时间更新一次。
常见的网络状态有:
LISTENING:侦听状态。
ESTABLISHED:建立连接。
CLOSE_WAIT:对方主动关闭连接或者网络异常导致连接中断。
在排查过程中,使用netstat -ano | findstr "ESTABLISHED"
来查看目前的网络连接
也可以使用netstat -anb
快速定位到端口对应的程序
服务排查
使用运行窗口,输入services.msc
打开服务窗口,可查看所有服务项