windows入侵排查下

最新推荐文章于 2024-09-26 13:36:15 发布

山兔1

最新推荐文章于 2024-09-26 13:36:15 发布

阅读量1k

点赞数 22

分类专栏：网络安全应急响应文章标签： windows

本文链接：https://blog.csdn.net/m0_53008479/article/details/141231996

版权

网络安全应急响应专栏收录该内容

31 篇文章 1 订阅

订阅专栏

1、检查异常端口

使用命令 netstat -ano 查看当前的网络连接，排查可疑的服务、端口，外连的IP，定位可疑的 ESTABLISHED。如发现 netstat 定位出的 pid 有问题，可再通过tasklist 命令tasklist | findstr “PID” 进一步追踪该可疑程序。

常见的网络状态说明如下。
LISTENING :侦听状态。
ESTABLISHED :建立连接。
CLOSE WAIT:对方主动关闭连接或网络异常导致连接中断。

使用命令 netstat -anb 命令（需要管理员权限）快速定位到端口对应的程序

2、检查进程

任务管理器的文件名是 Taskmrg.exe 。

2.1 进程名字异常与伪装

进程名字异常是指某些进程的名字是随机产生的，因此高度可疑，例如：某感染环境，打开任务管理器，发现有大量名字随机的进程，如hrlB3.tmp、hrlcc.tmp、hrlcD.tmp、hrlc3.tmp、hrlC5.tmp、hrlD5.tmp、hrl6.tmp、hrlEE.tmp。不仅文件后缀不是典型的 exe，名字也是随机产生的

2.2进程信息排查

通过 tasklist 查看
在命令行中输入【tasklist 】命令，可显示运行在计算机中的所有进程，可查看进程的映像名称、PID、会话名等信息
使用【tasklist】命令并添加特定参数，还可以查看每个进程提供的服务，如添加svc参数,即输入【tasklistsvc】命令,可以显示每个进程和服务的对应情况

2.3模块空间检查

找到可疑进程并不意味着该进程对应的 exe 文件就是病毒，有些病毒可能是将恶意 dll 注入到系统进程中去的。

对于可疑进程，需要将进程所加载的模块都检查一下，例如利用 ProcessHacker，双击可疑进程，即可查看其加载的模块

3、查找可疑目录及文件

3.1查看用户目录

新建账号会在这个目录生成一个用户目录，查看是否有新建用户目录。
C:\Documents and Settings
C:\Users\

3.2最近打开文件

检查下最近打开了哪些文件，可疑文件有可能就在最近打开的文件中，打开以下这些目录即可看到

查看用户 Recent 文件。 Recent文件主要存储了最近运行文件的快捷方式，可通过分析最近运行的文件，排查可疑文件。
C:\Users[用户名]\Recent
C:\Documents and Settings[用户名]\Recent

3.3临时目录排查

攻击者往往可能将病毒放在临时目录(tmp/temp)，或者将病毒相关文件释放到临时目录，因此需要检查临时目录是否存在异常文件。假设系统盘在C盘，则通常情况下的临时目录如下：
C:\Users[用户名]\Local Settings\Temp
C:\Documents and Settings[用户名]\Local Settings\Temp
C:\Users[用户名]\桌面
C:\Documents and Settings[用户名]\桌面
C:\Users[用户名]\Local Settings\Temporary internet Files
C:\Documents and Settings[用户名]\Local Settings\Temporary Internet Files

[用户名]根据实际环境用户得出，常见用户名是 Administrator，建议所有用户都检查一下

3.4 浏览器相关文件

对于一些人工入侵的应急响应事件,有时入侵者会下载一些后续攻击的工具。 Windows 系统要重点排查浏览器的历史记录、下载文件和cookie 信息，查看是否有相关的恶意痕迹。

C:\Users[用户名]\Cookies
C:\Documents and Settings[用户名]\Cookies
C:\Users[用户名]\Local Settings\History
C:\Documents and Settings[用户名]\Local Settings\History
C:\Users[用户名]\Local Settings\Temporary Internet Files
C:\Documents and Settings[用户名]\Local Settings\Temporary Internet Files