Windows应急响应流程与思路

什么是应急响应

网络安全应急响应（Network Security Incident Response，又称CSIRT）是指团队或组织为了在网络安全事件发生时能够及时准确地做出反应和应对而建立的一套制度和流程。其目的是降低网络安全事件所造成的损失并迅速恢复受影响的系统和服务。我这里总结了一些 Window 服务器应急响应的思路和方法，希望能对师傅们处理攻击事件或工作中的应急响应有所帮助。

常见的应急响应事件分类：

常见的应急响应事件可分为四类，当然设备和系统故障也算是一类，但这类不在我们今天的讨论范围内。

• WEB入侵类：网页挂马、主页篡改、Webshell
• 病毒感染类：病毒、挖矿木马、蠕虫、勒索病毒
• 系统入侵类：漏洞利用、弱口令、远控后门
• 网络攻击类：DDOS 攻击、DNS 劫持、ARP 欺骗

应急响应排查思路

法证之父埃德蒙罗卡曾经说过：凡走过必留下痕迹，应急响应也是如此，我们首先需要获取的信息是谁在什么时间发现的服务器异常状况，异常的现象是什么，受害用户做了什么紧急处置，结合自身的经验和网上已有的信息，判断这次应急响应可能是个什么事件，同时给用户一个大致的排查思路和解决方案，结合客户现场的驻场运维人员或系统维护人员，利用自身所学和客户现场可利用的安全设备来进行排查。

应急响应排查流程

一、排查系统和账号安全

弱口令、后台管理端口

查看目标服务器是否存在弱口令，远程管理端口是否对互联网开放，有条件的情况下可以结合流量分析类设备，对服务器所在的网络整体环境做一个评估分析。

可疑或新增账号

排查服务器上是否存在可疑或者新增的账号。

打开 cmd 窗口，输入lusrmgr.msc命令，查看是否有新增/可疑的账号，如有管理员群组的（Administrators）里的新增账户，如有，请立即禁用或删除掉。

隐藏或克隆账号

排查服务器上是否存在隐藏或者新增账号。

打开注册表 ，查看管理员对应键值。

可以使用 D盾web 查杀工具，集成了对克隆账号检测的功能。

账号登录时间

可以结合Windows系统日志，排查管理员账号是否存在异常登录时间和行为。

Win+R 输入eventvwr.msc回车运行，打开事件查看器，查看Windows日志

导出 Windows 日志—安全，利用 LogParser工具进行分析。

二、排查异常端口、进程

端口连接情况

查看服务器端口连接情况，判断是否有远程连接、可疑连接。

使用netstat -ano 指令查看目前的网络连接，定位可疑的ESTABLISHED（表示端口建立了连接）

根据 netstat 指令显示的pid，使用tasklist命令进行进程定位

tasklist  | findstr “PID”

进程

查看服务器是否存在可疑的进程，可以通过观察以下内容进行判断：

• 没有签名验证信息的进程
• 没有描述信息的进程
• 进程的属主
• 进程的路径是否合法
• CPU 或内存资源占用长时间过高的进程

Win+R输入msinfo32，依次点击“软件环境→正在运行任务”就可以查看到进程的详细信息，比如进程路径、进程ID、文件创建日期、启动时间等。

也可以使用火绒剑（HRSword.exe），开启监控，重点关注没有签名信息的进程。

常用的指令

一些比较有用的指令和方法：

• 查看端口对应的 PID： netstat -ano | findstr “port”
• 查看进程对应的 PID：任务管理器--查看--选择列--PID 或者 tasklist  | findstr “PID”
• 查看进程对应的程序位置：任务管理器--选择对应进程--右键打开文件位置，运行输入 wmic，cmd界面 输入process
• tasklist /svc 进程—PID —服务
• 查看 Windows 服务所对应的端口：C:\Windows/system32/drivers/etc/services

三、排查启动项、计划任务、服务

启动项

排查服务器是否存在异常的启动项。

如果是早期的Windows服务器，登录服务器，单击【开始】>【所有程序】>【启动】，默认情况下此目录在是一个空目录，确认是否有非业务程序在该目录下。

Win+R输入 msconfig，打开系统配置，查看是否存在命名异常的启动项目，是则取消勾选命名异常的启动项目，并到命令中显示的路径删除文件。（注意可以隐藏微软自带的服务）

Win+R输入regedit，打开注册表，查看开机启动项是否正常，特别注意如下三个注册表项：

HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce

检查右侧是否有启动异常的项目，如有请删除，并建议安装杀毒软件进行病毒查杀，清除残留病毒或木马。

也可以使用火绒剑进行查看

利用安全软件查看启动项、开机时间管理等。

Win+R输入gpedit.msc查看组策略中是否存在可疑脚本。

计划任务

排查服务器上是否存在可疑的计划任务。

打开控制面板，以小图标的方式查看，点击管理工具，找到任务计划程序，查看计划任务属性，便可以发现木马文件的路径。

Win+R输入cmd，然后输入schtasks.exe，查看服务器是否存在与其他服务器之间的会话或计划任务，如有，则确认是否为正常业务。（注意，在一些比较老的Windows服务器上该命令可能为at）

服务自启动

排查服务器上是否存在自启动服务。

Win+R输入services.msc，排查服务状态和启动类型，检查是否有异常服务。

四、排查系统相关信息

系统版本

查看系统版本以及补丁信息。

Win+R输入systeminfo，查看服务器系统信息，排查系统是否存在可利用的漏洞，有条件的话可以通过漏扫来完成。

可疑文件

排查服务器上是否存在可疑目录及文件。

查看用户目录，新建账号会在这个目录生成一个用户目录，查看是否有新建用户目录。

Window 2003服务器 :C:\Documents and Settings

Window 2008R2服务器:C:\Users\

Win+R输入%UserProfile%\Recent，分析最近打开分析可疑文件。

可以根据文件夹内文件列表时间进行排序，查找可疑文件。

五、自动化查杀

病毒查杀

下载安全软件，如：火绒、天擎、360等，更新至最新的病毒库，进行全盘查杀。

webshell 查杀

使用webshell专杀攻击，选择具体站点路径进行 webshell 查杀，建议同时使用两款或以上的专杀工具进行查杀，可相互补充规则库的不足。

常见的webshell查杀工具：

• D盾_Web查杀：阿D出品，使用自行研发不分扩展名的代码分析引擎，能分析更为隐藏的 WebShell 后门行为。兼容性：只提供 Windows 版本。工具下载地址：http://www.d99net.net
• 河马在线查杀：专注 WebShell 查杀研究，拥有海量 WebShell 样本和自主查杀技术，采用传统特征+云端大数据双引擎的查杀技术。查杀速度快、精度高、误报低。兼容性：支持 Windows、Linux，支持在线查杀。官方网站：https://www.shellpub.com
• Web Shell Detector：Web Shell Detector 具有 WebShell 签名数据库，可帮助识别高达 99％ 的 WebShell。兼容性：提供 PHP、Python 脚本，可跨平台，在线检测。官方网站：http://www.shelldetector.com。github项目地址：https://github.com/emposha/PHP-Shell-Detector
• CloudWalker（牧云）一个可执行的命令行版本 Webshell 检测工具。目前，项目已停止更新。兼容性：提供 Linux版本，Windows 暂不支持。在线查杀 demo：https://webshellchop.chaitin.cn。GitHub 项目地址：https://github.com/chaitin/cloudwalker

六、日志分析

系统日志

一些系统日志的分析方法：

• 如果服务器开启了审核策略，则当系统出现故障、安全事故可以查看系统的日志文件，排除故障，追查入侵者的信息等。
• Win+R 输入eventvwr.msc，回车运行，打开“事件查看器”。
• 导出应用程序日志、安全日志、系统日志，利用 Log Parser 进行分析。
• 如果网内存在日志审计类的安全设备，则可以通过该设备的规则匹配对系统日志进行分析。

WEB 访问日志

找到中间件的 web 日志，打包到本地方便进行分析。

推荐工具：

• Window 下，推荐用 EmEditor进行日志分析，支持大文本，搜索效率还不错。
• Linux下，使用 Shell 命令组合查询分析

通过防火墙、IPS、WAF、态感、全流量等安全设备，对服务器的访问和安全防护日志进行分析，优点是方便直观，甚至可以把攻击流量包抓下来方便进行分析、取证和溯源，缺点是对安全设备的熟悉程度和策略配置要求比较高，也不是所有的单位都能提供。

微信公众号

扫一扫关注CatalyzeSec公众号

 

加入我们的星球，我们能提供：

1对1就业指导、面试模拟、Golang工具开发学习、Fofo高级会员、各公众号历史文章合集、各种网络安全电子书、面试题合集、最新poc、exp、最常用工具推荐、开放交流环境，解决成员问题。