Windows应急响应(超详细）

1.攻击归类

      要进行应急响应，通俗来讲，首先你得知道攻击你的是啥。

常见的攻击归类如下：

1.系统入侵：病毒木马、勒索软件、远控后门

2.web入侵：网页挂马、主页篡改、Webshell
3.网络攻击：DDOS攻击、DNS劫持、ARP欺骗

分类在应急响应整个流程里面还是相对容易的，比如你的网站出事了，被人挂了马或图片，很明显就是web入侵。

如果你被勒索或者被挖矿，或者病毒入侵，都可以视为系统入侵，因为已经打到了你的系统层面，可以调用你的一些系统权限，很明显就是一个系统入侵。

网络攻击查看一手流量分析，实时监控网络就可以看出，不必多说。

2.系统入侵响应

首先你得先明白，此时黑客可能已经获得了部分你的系统权限。

（1）账号的检查

首先调用windows命令窗口，使用
 

net user

 可以查看有无多出来的一个系统用户。

如果没有找到，有可能黑客在在进行权限维持的时候进行了使用了隐藏账户。此时直接使用

管理员权限进入注册表编辑器

计算机\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account

查看Users表项与net user表项中的项数量是否一致

之前的net user只出现了五个账户，但是这里却又六个names，很明显admin$有问题

那么最后进行克隆账户的一个排查。

这里建议直接使用D盾，进行克隆检测

如果发现你的电脑上面没有多出来的一个账户，那么接下来：

（2）进行任务管理器进程排查

这里用我这边的一个事例比较容易讲的清楚：

           起因是朋友的充电线有些发黄，很明显是发热过大，他说是这几天才这样的。

我帮他查看了一手任务管理器的CPU进程，已经给干到了几乎80，我把所有的应用都给关闭了，此时的CPU依旧高居不下。

这下我排查到了一个exe进程，他的占用率很高，我将它kill后直接降到十几CPU。我以为是我不懂的大规模进程，后来发现没个几分钟又发烫了，我一看又埃了，此时我基本确认了这台电脑被挖矿了。

我溯源了一手重点的高危文件夹，为了保险，整个包都删除了，但是过了半小时又复苏了 ，此时基本可以初步确认已经渗透进入了系统的一些关键进程，生命力极强，此时我借用了windows自身的安全措施，进行了一轮防御，但是还是被躲过去了，只有明面的几个被查杀，但是仍会复制。此时我意识到了可能不止一个exe在发挥作用。

最后不得已我请出了360（还得是360）对系统进行了查杀处理才得以解决问题。

      我搬出这个例子是为了说明一个基本的流程，无论是你被远控或者被挖矿了：

(1)，先查看任务管理器的一个异常进程，比如我上面的例子，一个exeCPU损耗高达数十

(2).进行溯源一手，比如把相应的特征还有名字对应一手，运气好可以直接在网络上查看到相应的攻击，那么解决方法也会随之出现。

(3).火绒，360等都是很不错的一个查杀工具，要学会利用工具。

（3）.启动项检查

#查看系统计划任务
schtasks /query /fo LIST /v

#查看程序启动信息
wmic startup get command,caption

#查看系统开机时间
net statistics workstation

#查看主机服务信息
wmic service list brief

 注意检测好主机的上机时间，以及主机的服务信息，看看最近都运行了什么任务，程序启动信息,都必须进行排查。

（4）端口的检查

netstat -ano
#显示当前活动的网络连接和端口信息

netstat -ano | findstr “port”
#查看端口对应的PID

  这里强烈推荐TCPView工具的一个辅助使用，若是发现可疑的IP，以及一个链接信息，

 可以在工具里面查看Remote Address 放到威胁情报平台

        

参考：TCPView下载安装使用教程（图文教程）超详细

（5）自启动检查

1.HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

2.HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run

3.HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce

这些注册表路径存储所有用户登录时自动启动的程序列表。

这些启动项对于系统整体来说影响更大，因为它们不仅影响当前用户的会话，还可能影响系统中的所有用户。

之前的挖矿例子也可能就是恶意软件利用这些项来实现持久化，有某个恶意软件进行了自启动然后复制。即使重新登录或重启系统，恶意程序也会重新启动并执行其设计的恶意行为。

检测事项：

• 持久化攻击的检测：恶意软件常常利用自启动项来实现持久化，即使用户尝试删除恶意文件，恶意软件也能在系统重启后重新执行。因此，定期检查和清理这些注册表项对于保持系统安全至关重要。

通过检查这些注册表路径，系统管理员可以识别是否有未经授权的程序正在自动启动。这有助于早期发现和阻止恶意软件活动。

（6） windows事件查看

打开windows本身自带的事件查看器，审核windows安全日志。

值得一提的是每一个ID都会有相对应的一个事件。比如可以Ctrl+f直接搜索4720的ID，因为4720意味着有新的windows账号的创建事件。

这个admin$就是一个入侵者新创建的隐藏账号。

在Windows事件日志中，有些事件ID可能表示系统中的安全威胁或者其他重要的系统活动。以下是几个常见的高危事件ID以及它们的含义（常用的就是一下的下面几个，其他的要用到再去找）：

1. 事件ID 4624 - 表示成功登录。这个事件指示某个用户成功登录到系统或网络。

2. 事件ID 4625 - 表示登录失败。这个事件指示某个用户尝试登录但是失败了。

3. 事件ID 4672 - 表示管理员权限的操作。这个事件通常指示某个账户执行了需要管理员权限的操作，比如创建用户、修改权限等。

4. 事件ID 4768 - 表示票据生成服务请求。这个事件出现在Kerberos身份验证中，表示某个账户请求了票据以便进行认证。

5. 事件ID 7045 - 表示服务状态更改。这个事件出现在服务状态发生重要更改时，比如新安装服务、启动或停止服务等。

6. 事件ID 4732 - 表示安全组成员添加。这个事件指示有人向一个安全组添加了成员。安全组通常用于管理和控制系统中的访问权限。

7. 事件ID 5058 - 表示安全设置已经更改。这个事件表示系统中的某些安全设置已经被更改。这可能包括文件系统、注册表或者其他系统组件的安全配置更改。

 举个例子：之前做应急响应靶机时要找出隐藏账户通过哈希传递攻击登陆的时间：

那么直接找事件ID 4624 - 表示成功登录。这个事件指示某个用户成功登录到系统或网络。

然后再找出是否出现隐藏账户的登陆

直接找到对应时间

2.web入侵响应

下面是一些常用的步骤，当然了，在做这些的时候先别忘记

• 隔离网络: 断开受感染系统与网络的连接，防止进一步传播。
• 隔离用户: 确保仅有授权人员访问系统和数据。

（1)Webshell查杀

这里比较推荐使用D盾，可以扫描服务器相对应的一个目录，

可以较为精确地扫描出webshell的位置。

（2）查看文件修改

当你的网页遭到了修改，注意查看一手文件的信息，查看文件的访问时间和修改时间，可以较为精确地掌握黑客的攻击时间。

从这里可以看出网页代码被修改的时间。

（3）.D-eye扫描木马文件（蓝队常用工具）

这里借用了荆棘鸟lm的图片，我们可以看出两个木马文件的查杀，d-eye在蓝队工程师里面非常流行，通过强大的数据分析能力，D-Eyes提供了一种高效、直观的方式来识别潜在的安全威胁。

（4）代码比对（适用大型系统，也最保险）

这个适用于在代码山中找不到隐藏后门，而且系统管理员刚刚好又备份好了自己网站的代码，那就进行代码比对吧。

虽然很麻烦，但总能找到隐藏后门的。进行文件完整性检测，与原始代码的比对。

比如Beyond Compare这款工具，就可以进行快速的代码比对。

Beyond Compare会直接标红不同之处。

(5)MD5值比对

文件对应的MD5值与之前的MD5进行对比，如果不同，说明文件很可能被篡改。

3.网络攻击响应

（1）勒索病毒

火绒公布的勒索病毒工具在这里，希望大家永远用不到：

http://bbs.huorong.cn/thread-65355-1-1.html

咳咳，自救的方法无非不就是找工具救，但是很多的病毒解密只有少部分可以成功（问就是制作者被抓后不得已公布了密钥）真正通过病毒自身缺陷来解决问题的数量还是比较少的。

别忘了重要的资料记得备份，如果你有备份，直接高枕无忧。

（2）DDOS攻击响应

BGP黑洞路由响应

当遭遇DDOS攻击时，注意实时响应，可以使用BGP黑洞路由进行防守。

工作原理

• 路由设定: 网络管理员配置BGP路由器，将攻击流量的目的地IP地址指向一个虚拟的黑洞地址。
• 丢弃流量: 一旦攻击流量被路由到黑洞，目标网络或服务器将不再处理这些流量，而是直接丢弃它们。
• 快速响应: BGP黑洞路由可以在几秒钟内生效，因为BGP（边界网关协议）通常具有快速的路由更新能力。

当然也不要忘记了进行服务检查：

注意检测DDOS攻击防火墙的状况，以及CDN防护服务等的运行。

（3）ARP欺骗响应

无非就是进行日志分析: 分析网络设备和系统的日志，查找异常的ARP请求和响应模式。以及：

• ARP缓存清除: 及时清除受影响设备的ARP缓存，移除不正确的条目，重新获取正确的MAC地址。
• 网络设备重启: 在必要时重启受影响的网络设备，以清除可能被攻击者修改的ARP缓存。

 这里就不过多赘述。

最后的最后，真诚地希望文章能够对各位有所帮助。