windows应急中的快捷键

windows应急中的快捷键

应急的时候，快捷键很重要，记录一下windows主机排查需要用到的快捷键

windows快捷键

appwiz.cpl 是打开安装面板

程序和功能

控制面板程序和功能

搜索程序和功能

控制而板主页

卸载或更改程序

若要卸酸程序,请从列表中将其选中,然后单击即就,更改"或修复.

查看已安装的更新

打开或关闭WINDOWS功能

组织

19大小

发布者

安

名称

金山安全终端

KINGSOFT CLOUDSECURKY

2022/4/20

北京火绒网络科技有限公司

火城安全软件

2022/4/20

51.9MB

2021/5/27

MIETOSOFT COTPORABION

MICROSOFT NET FRAMEWORK 4 EXTENDED

2021/5/27

388MB

MICROSOFT NET FRAMEWORK 4 CLENT PROTILE

MICROSOFT CORPORABION

2021/1/13

VNC MINOR DRIVER 1.8.0

952KB

REANNC LTD

VNC ERTERPRISE E CITION E4.6.0

2021/1/13

10.2MB

REANNC LTD

深信服虚拟机性能优化工具

2021/1/7

SANGFOR TECHNOLOGIES INO

8.26 MB

NOTEPOD+*(32-BIT XE6]

2020/4/3

NOTEPADT+TEOM

MICROSOITCORPORATION

MICROSOFT VISUAL C++2005 REDIETRIBUTABLE

428KB

2019/9/6

基础控件

2019/9/6

MICROSOFT VIOUAL C+2010 X64 REDIETRIBURABLE-10…MICR

13.6M8

2019/9/5

2017/5/23

SOOPUI 5.00 5.0

SMARTBEAR SCFTWATE

2017/5/15

WINRAR 5.31(32-位)

WINRAR GMBH

2017/1/3

150 MB

ORACLE CORPORATION

MYSQL SERVER 5.5

2017/1/3

128 MB

JAVA™ SE DEVELOPMENT KR 6UPDATE 43(64-B4-

ORACLE

2017/3

JAVA™6UPDATE 43(64-64-67)

92.1MB

ORACLE

2016/12/21

MATROA GRAPHICS SOFTWARE [REMOYE ORLY]

当前安装的程序 总大小:495MB

17安装的程序

msconfig是打开启动项

系统配置

常规

引导服务工具

启动选择

(正常启动(

加戴所有设备驱动程序和服务

诊断启动()

仅加载基本设备和服务

有选择的启动(

区区

加载系统服务

加载启动项(

使用原有引导两置

毒助

确定

现消

应用(

eventvwr.msc事件查看器

Win+R打开运行，输入“eventvwr.msc”，回车运行，打开“事件查看器”。 比如常见的安全事件ID,4624代表登录成功、4625代表登录失败、4634代表用户注销

事件查看器

文件(A操作(A)

查看(V)

帮助(H)

事件查看器(本地)

事件查看器(本地)

操作

自定义视图

概述与摘要

事件查看器(本地)

WINDOWS日志

打开保存的日志…

应用程序和服务日志

概述

订阅

创建自定义视图…

若要查看已在计算机上出现的事

导入自定义视图…

件,请在控制台树中选择相应的来

连接到另一台计算机…

源 日志或自定V初图节占

占管理

查看

管理事件的摘要

刷新

正在读取数据,请稍候…

帮助

最近查看的节点

力功

日志摘要

正在读取数据,请稍候…

展开:成功完成.

gpedit.msc 本地组策略

本地组策略编辑器

帮助(H)

查看(V)

操作(A)

文件(F)

本地计算机策略

脚本(启动/关机)

计算机配置

名称

启动

软件设置

启动

WINDOWS设置

显示属性

域名解析策略

关机

脚本(启动/关机)

描述:

已部署的打印机

数据包含计算机启动脚本.

安全设置

基于策略的QOS

管理模板

"开始’菜单和任务栏

WINDOWS组件

打印机

服务器

控制面板

网络

系统

所有设置

用户配置

软件设置

WINDOWS设置

脚本(登录/注销)

安全设置

扩展

标准

secpol.msc本地安全策略

本地安全策略

操作(A)

文件(E)

帮助(H)

查看(V)

X

?

安全设置

名称

描述

账户策略

账户策略

密码和账户锁定策略

本地策略

本地策略

审核,用户权利和安全选项策略

高级安全WINDOWS DEFENDER防火墙

高级安全WINDOWS DEFENDER防火墙

高级安全WINDOWS DEFENDER防火墙

网络列表管理器策略

网络名称,图标和位置组策略.

网络列表管理器策略

公钥策略

软件限制策略

公钥策略

应用程序控制策略

软件限制策略

IP安全策略,在本地计算机

应用程序控制策略

应用程序控制策略

高级审核策略配置

INTERNET协议安全性(IPSEC)管理.为与别的计…

IP安全策略,在本地计算机

高级审核策略配置

高级审核策略配置

services.msc服务自启动

服务

文件(E)

帮助(H)

操作(A)

查看(V)

服务(本地)

服务(本地)

启动类型

状态

登录为

名称

描述

选择一个项目来查看它的描述.

本地系统

GAMEDVR和广播用户服务F1536

手动

此用户服务用于游戏录制和实况广播

GCUBRIDGE

GCUBRIDGE

本地系统

正在运行

自动

手动(触发…本地系统

此服务将监视系统的当前位置并管…

GEOLOCATION SERVICE

GRAPHICS PERFORMANCE MONITOR SER…

GRAPHICSPERFSVC

手动(触发…本地系统

此服务负责应用管理员通过组策略…正在

正在运行

自动(触发…本地系统

GROUP POLICY CLIENT

激活键盘,遥控器和其他多媒体设…

手动(触发…

本地系统

HUMAN INTERFACE DEVICE SERVICE

为HYPER-V虚拟机监控程序提供接…

HV主机服务

手动(触发…本地系统

HYPER-V DATA EXCHANGE SERVICE

手动(触发…本地系统

提供一种机制,用于在虚拟机和运…

HYPER-V GUEST SERVICE INTERFACE

手动(触发…本地系统

为HYPER-V主机提供一个接口,以…

提供一种机制,用于从物理计算机…

手动(触发…

HYPER-V GUEST SHUTDOWN SERVICE

本地系统

HYPER-V HEARTBEAT SERVICE

手动(触发…

本地系统

通过定期报告检测信号来监视此虚…

HYPER-VPOWERSHELL DIRECTSERVI…提供了一种在不使用虚拟网络的情…

手动(触发…本地系统

手动(触发…本地服务

HYPER-VTIMESYNCHRONIZATIONS…将此虚拟机的系统时间与物理计算…

协调使用卷影复制服务所需的通讯…

手动(触发…本地系统

HYPER-V卷影复制请求程序

提供一个平台以在虚拟机和物理计…

手动(触发…

HYPER-V远程桌面虚拟化服务

本地系统

IKE AND AUTHIPSEC KEYING MOD…IKEEXT 服务托管 INTEMET密钥交换(…正在运行

本地系统

自动(触发…

为家庭和小型办公网络提供网络地…

本地系统

手动(触发…

INTERNET CONNECTION SHARING (ICS)

使用IPV6转换技术(6TO4,ISATAP…正在运行

IP HELPER

本地系统

自动

配置和启用从V4到V6的转换,反…

手动(触发…

IP转换配置服务

本地系统

手动(触发…

网络服务

正在运行

IPSEC POLICY AGENT

INTEMET协议安全(IPSEC)支持网络…

KTMRM FOR DISTRIBUTED TRANSACTI…协调分布式事务处理协调器(MSDT…

网络服务

手动(触发…

LINK-LAYER TOPOLOGY DISCOVERY…

创建网络映射,它由电脑和设备拓…

本地服务

手动

管理本地用户会话的核心WINDOWS…正在运行

LOCAL SESSION MANAGER

自动

本地系统

支持短信及相关功能的服务.

MESSAGINGSERVICE F1536

手动(触发…本地系统

MICROSOFT®诊断中心标准收集…

手动

诊断中心标准收集器服务.运行时…

本地系统

MICROSOFT ACCOUNT SIGN-IN ASSIST…支持用户通过MICROSOFT 账户标识服…正在运行

手动(触发…本地系统

MICROSOFT APP-V CLIENT

MANAGES APP-V USERS AND VIRTUAL A…

禁用

本地系统

MICROSOFT DEFENDER ANTIVIRUS NE…帮助防止针对网络协议中的已知和…

手动

正在运行

本地服务

正在运行

自动

本地系统

MICROSOFT DEFENDER ANTIVINUS SER…帮助用户防止恶意软件及其他潜在…

手动

本地系统

MICROSOFT EDGE ELEVATION SERVICE… KEEPS MICROSOFT EDGE UP TO UPDATE…

自动(延迟…本地系统

MICROSOFT EDGE UPDATE SEVICE(…使你的 MICROSOFT软件保持最新状态…

同时自启动还有以下路径

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup

C:\Users\System\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

regedit 是打开注册表

检查右侧是否有启动异常的项 目，如有请删除，并建议安装杀毒软件进行病毒查杀，清除残留病毒或木马。

HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce

注册表查看隐藏用户

需要先开启权限，然后重新进入注册表

程序和功能

组织

控制面板程序和程序和功能

搜索程序和功能

注册表编辑器

文件(F)编辑(E)查香(V)收获夹(收获夹(H)

计算机

数据

米利

名称

HKEY_CLASSES ROOT

(救值来设置)

[恩认]

REG_SZ

HKEY CURRENT USER

HKEY LOCAL MACHINE

SAM的权限

田田回

BCD00000000

HARDWARE

安全

SAM

组或用户名(G):

SAM

SECURITY

SYSIEN

SOFTWARE

ADNINISTRATORS (DELL-YINOLDAINISTRATORS)

360SAFE

由由由由由由由由由田田

ATI TECRNOLOGES

CBSTEST

CLASSES

CLIENTS

添加(0).

时除®

DELL

EJTECHNOLOGIES

拒绝

袋口日

ADMINISTRATORS 的仅限§

GAMEMASTER

完全控制

HUORONG

读取

JAVASOFT

特殊权限

JKSOFT

KING.OFT

MICTOSOFT

NETFIANEWORK

由由由由由由

有关特殊权限或高级设置,清单击高

高级(V)

ACTIVE SETUP

级#.

AD名

了解访问控制和仅限

ADVANCED INF SETUP

ALG

取消

确定

应用(A)

ASP.NET

计算机\HKEY LOCAL_MACHINE(SAM\SAM

]:500

,注册表位置:首先要在HKEY-LOCAL.MACHINE\SAM\SAM威予ADMINISTRATORS权限,按F5刷新就能看到隐藏的子

目录DOMAINS\ACCOUNT\USERS

收藏夹(A)帮助(H)

文件(F)编辑(E)查看(V)

计算机

HKEY CLASSES ROOT

HKEY CURRENT USER

HKEY LOCAL MACHINE

要在此注册表增加

BCD00000000

HARDWARE

ADMINISTRATORS权

SAM

限

SAM

DOMAINS

ACCOUNT

ALIASES

GROUPS

USERS

上海市天上海市天上海市天上海市

000001F4

000001F5

000003E8

000003E9

000003EA

000003EC

NAMES

A

ADMINISTRATOR

GUEST

HOMEGROUPUSER$

TEST

TEST1$

通过注册表查看登陆过的服务器

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Terminal Server Client\Servers 注册表可以查看服务器登陆过哪台服务器

注册表编辑器

文件(E)编辑(E)查看(W)收藏夹(A)帮助(H)

LIT算机HKEY CURRENT USERVERVERS\192.168.30.21

MICROSOFT PRINT TO PDF

类型

名称

FT XPS D

MICROSOFT

DOCUMENT WRITER

(默认)

REG SZ

ONENOTE(DESKTOP)

REGSZ

USERNAMEHINT

ONENOTE FOR WINDOWS 10

SERVERS

1.1.1.20

10.10.6.5

10.10.6.6

10.100.2.240

10.100.2.5

10.101.162.141

10.102.201.244

10.105.139.104

10.105.140.253

10.106.178.249

10.106.193.9

10.106.239.244

10.106.248.149

10.12.1.73

10.133.69.144

10.133.69.18

10.195.60.19

10.195.60.20

10.195.60.24

10.2.68.42

10.252.21.21

10.252.210.8

10.254.160.66

10.255.200.20

查看攻击者运行过的程序

计算机\HKEY_CURRENT_USER\SOFTWARE\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache

注册表编辑器

文件(E)编辑(E)查看(L)收藏夹(A)帮助(H)

LITHKEY CURRENT USERISERISOFTWARE(CLASSES(LOCAL SETTINGS\SOFTWARE/MICROSOFTIWINDOWS(SHELLMUICACHE

KZIP MAIN.EXE.LZH

类型

数据

名称

WA.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.A.

KZIP MAIN.EXE.LZMA

MICROSOFT CORPORATION

C:\PROGRAM FIL… SZ

KZIP MAIN.EXE.NTFS

写字板

C:\PROGRAM FIL… REG SZ

KZIP_MAIN.EXE.RAR

XMIND LTD.

|C:\PROGRAM FIL…

REG SZ

KZIP MAIN.EXE.RPM

XMIND

C:\PROGRAM FIL…

REG SZ

KZIP MAIN.EXE.SQUASHFS

C:\USERS\1930… SZ

MARTIN PRIKRYL

KZIP MAIN.EXE.TAR

WINSCP:SFTP,FTP,WEBDAV,S3 AND

REG SZ

C:\USERS\1930…

KZIP MAIN.WIM

PORTSWIGGER WEB SECURITY

REG SZ

[C:\USERS\1930…

KZIP MAIN.EXE.XAR

BURP SUITE COMMUNITY EDITION

REG SZ

C:\USERS\1930…

KZIP MAIN.EXE.XZ

C:\USERS\1930…

REG SZ

THE TENCENT AUTHORS

KZIP MAIN.EXE.Z

KZIP MAIN.EXE.ZIP

MINI PROGRAMS

REG SZ

C:\USERS\1930…

INKFILE

1-副本,EXE

REG SZ

C:\USERS\1930…

LOCAL SETTINGS

C:\USERS\1930…

REG SZ

1.DOCX,EXE

IMMUTABLEMUICACHE

A.A.Y

C:\USERS\1930…

REG SZ

1.DOCX.SCR

MRTCACHE

C:\USERS\1930…

REG SZ

1.EXE

MUICACHE

REG SZ

C:\USERS\1930…

XCOD_SCR

SOFTWARE

C:\USERS\1930… SZ

11.EXE

MICROSOFT

12.EXE

C:\USERS\1930…

WINDOWS

C:\USERS\1930…

REG SZ

2.EXE

CURRENTVERSION

REG SZ

C:\USERS\1930…

3.EXE

SHELL

REG SZ

C:\USERS\1930…

1.EXE

BAGMRU

REG SZ

110 BYPASS.EXE

C:\USERS\1930…

BAGS

MUICACHE

JC:\USERS\1930…

REG SZ

123.EXE

MAILTO

C:\USERS\1930…

REG SZ

2.EXE

MICROSOFT.WINDOWS.CAMERA

REG SZ

C:\USERS\1930…

ANTIAV-NOVM.EXE

MICROSOFT.WINDOWS.CAMERA.MULTIPICKER

REG SZ

C:\USERS\1930…

BEACON.EXE

MICROSOFT.WINDOWS.CAMERA.PICKER

C:\USERS|1930… USERS

BVPASS2.EXE

taskschd.msc 打开任务计划程序

任务计划程序

文件(F)操作(A)

查看(V)

帮助(H)

任务计划程序(本地)

操作

触发器

状态

名称

任务计划程序库

任务计划程序库

准备就绪在2021/11/9的21:49时

AT1

MICROSOFT

准备就绪 在2021/11/9的21:50时

AT2

创建基本任务…

WPD

TESTSCHT…准备就绪在每天的13:00

事件查看器任务

创建任务…

导入任务…

显示所有正在运行的…

操作

历史记录(已禁用)

设置

常规

条件

触发器

启用所有任务历史记录

创建任务时,必须指定任务启动时发生的操作.若要更改这些操作,使用"属性"命令打开任务厂

新文件夹…

查看

详细信息

操作

刷新

启动程序

CMD

帮助

所选项

运行

结束

直观查看进程外联

process hacker可以查看所有进程的外联

回x

[TI:-75TA0949GFBYADiNiSTFATOR

ProcessHackEr[TI

ToolsUsers

Help

Vie

Network

Services

Pr.

Rem…

St&te

Owner

ae

4576TCP

Established

45.32.127.189.rultr.com

TIF-75A0949GFB

54557

(4200)

artifact.exe

VP6

Dnscache

TS1J1105550T9

NWELUSTMCAO

4500

UDP6

IKEEXT

svchost.exe(864)

WIN-75A0949GFB

1434

UP6

WIN-75NA0949GFB

SQLBrOWSER

sqIbrowser.exe(1716)

500

IKEEXT

UDP6

WIN-75A0949GFB

swchost.exe(664)

56249

UDP

WIN-75NA0949GFB

(@)

Syste

54134

UDP

WIN-75A0949GFB

System

UDP

WIN-75A0949GFB

54133

Syste(?

UDP

WIN-75NA0949GFB

LdsLite.exe(4988)

10141

UDP

Dnscache

WIN-75KA0949GFB

swchost.x292)

5355

WIN-75A0949GFB

IKEEXT

UP

4500

swchost.exe(864)

Up

WIN-75NA0949GFB

SQLBroWSER

1434

sq1browserexe(1716)

500

UDP

WIN-75HA0949GFB

IKEEXT

svchost.2x(864)

UDp

wIH-75A0949GFB.

138

System(4)

UDP

137

WIN-75NA0949GFB

System(O)

TCP6

49165

WIN-75A0949GFB

1sassexe500)

Listen

49161

svchost.exe2568

TCP6

WIH-75NA0949GFB

PolicyAgent

Listen

49158

TCP6

Servicesexe(488)

WIN-7SA0949GFB

Listen

TCP6

49154

Schedule

WIN-75WA0949GFB

svchost.exe(864)

Listen

49153

TCP6

TIN-75NA0949GFB

LiSten

svchost.exe(784)

Vent10g

49152

TCP6

WIN-75A0949GFB

wininit.exe(384)

Listen

47001

TIN-75NA0949GFB

TCP6

System

Listen

wIH-75A0949GFB

TCP6

8084

Listen

System

WIN-75NA0949GFB

8075

TCP6

Listen

System

TI-75A0949GFB

8074

TCP6

Listen

Syste

8073

WIN-75NA0949GFB

TCP6

ListEn

System

TCP6

8072

WIH-7SA0949GFB

Listen

System

TCP6

8070

WIN-75IA0949GFB

(4)

Listen

Systen

TCP6

8069

WIN-75A0949GFB

Listen

System

TCP6

8067

WIP-75NA0949GFB

(4)

Listen

System

TCP6

8035

WIN-75NA0949GFB

Listen

System(4)

WIN-75HA0949GFB

Sy&tcma)

8034

LisTten

TCP6

见签

powertool也可以通过查看外联，定位到资源位置卸载流氓软件

X

PORERTOOL64位

V2.0

网络

关于和爱心捐助

系统修复

|文件

硬件温度检测

启动项

应用层

系统服务

注册表

内核模块

进程管理

内核相关

钩子

网络连接

WFP网络过滤

隐藏账户/克隆账户

SPI(网络连接劫持)

IE相关

协议

进程名:ID

本地地址

目标地址

目标IP归属地

45.32.127.189:4576

UC:\USERS\ADMINISTRATOR\DESKTOP\ARTIFACT.EXE :4200

192.168.201.141:54…

TCP

C:\PROGRAM FILES(X86)\LDSLITE\LDSLITE.EXE :4988

TCP

192.168.201.141:54…

119.147.70.230:80

苗 C:\MOBILEEMUMASTER\LDSGAMEHALL\LDSGAMERUN.EXE :3128

192.168.201.141:54…

TCP

119.147.70.219:80

U C:\PROGRAM FILES (X86\YXHGAMEBOX\YXHGAMETRAY.EXE : 5036

TCP

192.168.201.141:54…

58.216.13.241:80

C:\PROGRAM FILES(X86)\QUICKSEE\QUICKSEETRAY.EXE:2772

106.227.20.227:80

192.168.201.141:54…

TCP

() C:\PROGRAM FILES (X86\BIRDWALLPAPER\360WPSIV.EXE :3088

TCP

192.168.201.141:54…

180.97.148.118:80

192.168.201.141:139

LOCAL

TCP

SYSTEM:4

0.0.0.0:0

宋宋宋宋宋

192.168.201.141:138

UDP

SYSTEM:4

宋宋宋宋宋

192.168.201.141:137

ISYSTEM:4

UDP

] C:\PROGRAM FILES (X86\YXHGAMEBOX|UTILS/CEFVIEW.EXE : 3528

LOCAL

0.0.0.0:0

TCP

127.0.0.1:9509

0.0.0.0:0

TCP

SYSTEM:4

LOCAL

0.0.0.0:89

TCP

0.0.0.0:0

LOCAL

0.0.0.0:88

SYSTEM:4

LO CAL

TCP

0.0.0.0:86

SYSTEM:4

0.0.0.0:0

0.0.0.0:0

LOCAL

JSYSTEM:4

TCP

0.0.0.0:85

0.0.0.0:0

JSYSTEM:4

TCP

LOCAL

0.0.0.0:82

SYSTEM:4

TCP

0.0.0.0:0

0.0.0.0:8084

LOCAL

SYSTEM:4

0.0.0.0:0

TCP

LOCAL

0.0.0.0:8075

0.0.0.0:0

TCP

LOCAL

JSYSTEM:4

0.0.0.0:8074

TCP

0.0.0.0:0

SYSTEM:4

LO CAL

0.0.0.0:8073

SYSTEM:4

LOCAL

TCP

0.0.0.0:0

0.0.0.0:8072

TCP

JSYSTEM:4

0.0.0.0:0

LOCAL

0.0.0.0:8070

0.0.0.0:0

LOCAL

TCP

SYSTEM:4

0.0.0.0:8069

TCP

LOCAL

ISYSTEM:4

0.0.0.0:8067

0.0.0.0:0

A A A.AASP

TCP:59,UDP:16

最小化到系统托盘

关闭

在线升级

新版本功能

简单的自我保护

记录一下tools上luckyeast师傅发的一个脑图

流量分析

内味爱大彩序

亲玩离港韩居

内存分析

康菌化快鹰

用户信息

0工

Volstity

linuxe

系统拜查

苏统日古

安会社日本

五用安赛上店

日志会

日日老分特

日志分析

计到号0

G

应急应

其也口志

进程拌查

lrcelpd

soHoutpreltcoms

wIAMPm

Mu

T8K"WrintyIsaRTNUR1

ORACLEPRDBMNOGOOR

康您母口态

dirf12

W0965日

服务排弯

IInao

葡彪数历克

孩击日鸡肉别肇文件

fortles

文件浪迹排查

tnd

交击日族内安池文件

N-AIETuadn10

创法,馋芒,流可时间

特点视型:777

l9-献I店I

7o0Ls

Wireshark抓包后保存为pcap网卡，然后筛选出centos.uno域名

tshark -r 789.pcap -Y dns|findstr “centos.uno”

清楚过过滤规则、 file→capture Events、process Mon 先抓进程、再dnsSQuery 开始捕捉DNS请求，抓到后停止所有捕抓，Filter设置过滤规则、有进程id 去process

awk -F ’ ’ ‘{print $1}’ > 1.txt

1.恶意域名-》端口（进程）-》恶意进程->存储位置（缺失）-》kill

2.恶意域名-》端口（进程）-》系统进程-》分析进程所关联的服务（模块）-》判断签名（逆向分析/病毒分析）-》

Logparser使用

https://www.cnblogs.com/luoyong0201/p/Dynamics_365_Log_Parser.html

LogParser.exe -i:EVT -o:DATAGRID “SELECT TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,‘|’) as username,EXTRACT_TOKEN(Strings, 8, ‘|’) as LogonType,EXTRACT_TOKEN(Strings, 17, ‘|’) AS ProcessName,EXTRACT_TOKEN(Strings, 18, ‘|’) AS SourceIP FROM 日志位置 where EventID=4624”

LogParser.exe -i:EVT -o:csv "SELECT TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,‘|’) as username,EXTRACT_TOKEN(Strings, 8, ‘|’) as LogonType,EXTRACT_TOKEN(Strings, 17, ‘|’) AS ProcessName,EXTRACT_TOKEN(Strings, 18, ‘|’) AS SourceIP FROM 日志位置 where EventID=4624 " > c:/1.csv

后门判断

swapfiledl属性

详细信息

常规

以前的版本

安全

禹性

值

说明

文件说明

PositiveTechnolo

应用程序扩展

类型

文件版本

6.1.4600,16385

产品名称

MicrosoFtowindowsOperationSyste

产品版本

6.1.4600.16385

版权

MicrosoftCorporationAn1ri

大小

320KB

修改日期

2019-07-3010:20

语言

讲程默认语言

原始文件名positive.an1

除禹性和个人信息

确定

取消

应用0)

X

Sens.dll属性

详细信息

常规

以前的版本

安全

属性

说明

文件说明

SERS

类型

应用程序扩展

文件版本

10.0.14393.206

产品名称

HicroCorp

产品版本

10.0,14393.206

版权

MicroCorP

91.5KB

大小

修改日期

2019-07-3010:20

语言

英语美国)

原始文件名sens.anl

删余属性和个人信息

取消

确定

应用0)

关于勒索病毒

碰到勒索病毒， 需要和客户人员确认该系统有什么业务，例如该oa是内网还是外网，是商业oa还是自己开发的oa，确认下服务是不是对外开放，如果不是对外开放，可能就是内网传播的。

windows日志查看

https://mp.weixin.qq.com/s/-aBO3xVqLYPEbkcIgLgkCA

https://mp.weixin.qq.com/s/Zpca-OH5HSb8UaUdXEGSWg

在开始菜单输入msconfig点击启动项栏目，查看是否有异常启动进程。

系统配置

服务

工具

常规

启动

引导

服务

禁用日期

制造商

状态

已停止

Acunetix

AcunetixLtd.

PostgreSQLGlobalDevelop…

正在运行

AcunetixDatabase

已停止

MicrosoftCorporation

AIJoynRouterService

已停止

ApplicationLayerGatewayService

MicrosoftCorporation

正在运行

lEventsUtility

AMDExternalEv

AMD

已停止

MicrosoftCorporation

Applicationldentity

正在运行

AppleMobileDeviceService

Applelnc

正在运行

MicrosoftCorporation

ApplicationManagement

已停止

MicrosoftCorporation

AppReadiness

MicrosoftCorporation

正在运行

AppXDeploymentService(AppXS…M

已停止

AssignedAccessManager服务

MicrosoftCorporation

正在运行

WindowsAudioendpointBuilder

MicrosoftCorporation

正在运行

MicrosoftCorporation

WindowsAudio

请注意,某些Microsoft安全服务可能无法禁用.

全部禁用(D)

全部启用(日)

隐藏所有Microsoft服务(H)

应用(A)

帮助

取消

确定

powertool工具

可以查看所有启动项的内容

PowerTool64位V2.0

系辣修宾逃置售型内排内依关好子应用文胖注后执务网件品质位测关于和爱心

文件厂商

数字签名(签名…

装型

位影

启动名称

命令

HKIMISOFTWAREIMirosoftiWndowslCurrentVersionRun

HKLM

MicrosoftCorporation

%wndr%system3SeartyH…

SeartyHealth

CAWHDOWSISYSTMRADHKMISOFTWAREMOOTWNDOWSCURRENVERSOOLRUN

ReatekSemiconductor

HKLM

RtkAuduService

D:舌通工HLevengVrY…HKMISOFTWAREMAOOHIWDOWSURRENIVERSONLRUN

HKLM

PEverydhing

vodtools

GAPROgRMFSXBHMWMWWnRSRN

HKLM

gmMqrUSB

CPROGEMFESRYNVHIMISOFTWAREMOSTWdOWRTENTVERSONRUN

HKLM

ArayNetworks

LaundMhttd

CHPOGAMHSOCOMHOW3MWVSRN

HKLMWOM6A

SunlavaUpdatesched

OradeCorporaton

HKIMISOFTWAREIWAW6432NODEIMooWdoaenVEISONLRUN

"C.ProgramFles(x86)C5col…

CscoAnyConnedSec…

HKLMWOM64

CscoSysternsInc

上海贝说信息科技股份有限公司

:安全工具内工具选.HMSOTWARWOM3NMWRn

HKLMWOW64

Sunbgndient

CROGEMFLEOGMHMSOWREWOMADOMGOOHWOMOURENVESRUN

HKLMWON6

qmMgr_USB

文件不存在

HKIMISOFTWAREIWOWGA3NODEMCROSOHIWdONSCURNVESIONIRUN

CLWINDOWSISysWOW64nb

HKIMWOW64

microdonesion

“D:虚拟机lvmvare-uray.exe”

HKLMWOW64

HKLMISOFTWAREIWOWG43NoDEMcOSOftIWndowSCUREnTVERSIONLRuN

VMwware,Inc.

HKLMWOW64

HKLMISOFTWAREWOW6432NODEIMicRoSOtWdowSCUntVersionlRun

LaunchMotionPro

"C:1ProgramFiesirrayNetwor…

HKLMWOW64

ArrayNetwworks

LaundMhttpd

HKLMISOFTWAREWON0432NODeMCRoOWndowsCrEntVeISIOnRun

D:吉渣工盾度云IBADN…HSOFTWAREMAOSRIWNDOWCRENTVEISONRUN

Baidu.comnc

HKCU

BaiduYunDetect

D:昔通工具\微信1WeChatiwe…

HKCU

HKCUISOFTWAREMAROSOTWNDOWSICUTENTVERSONRUN

Wedhat

Tencent

"C:lProgramFies(xB6)TSoftL…

HKCUISOFTWAREIMCROSOFLYWNDOWSLCURTENTVERSONRUN

HKCU

qbdpboard

Tencent

HKCU

Goog-e4C

HKCUISOFTWAREWMAROSORWNDOWSICURTENTVERSIONIRUN

c:users19307AppDataLoc…

GoogleUpdate

HKCU

"C:ProgramFles(x86)WxWo…

HKCUISOFTWAREMAOSOFLWdOwSICUTENTVERSONRUN

WXWor

Tencent

HKCU

D:语雀Iyuque-desktopl语雀exe

HKCUISOFTWAREMAOSOFLWDOwSICUTENTVETSONRUN

语雀

Yuque

ectron.app

HKCU

D:qq音乐\QQMusicioomusic…

HKCUISOFTWAREIMicrosoftIWndowsiCurentversionlRun

QQMusic

Tencent

SSLVPN-GUI

D:练出工作2021护网101对件…

HKCU

HKCUISOFTWAREWMaOSOTtWWndowsCueNVerionRun

HKIMISOFTWAREIMROSOTWDOwsNTICURenVerSoNWbgoNL

HKIMWnbgon

Shel

MicrosoftCorporaton

explorer.exe

Userint

HKIMISOFTWAREMGOSORWdwSNTCUrEntVeRSONWLogOn

c:Wndowssystem32lusennt…

HKLMWrbgon

MicrosoftCorporation

Shel

HKLMWnogon…

MaosoftCorporation

HKIMISOFTWAREIWOW6A3NODEMAOSORIWDOWSNTCURVISNWbgONY

explorerexe

5CRNSAVE.EXE

MiaosoftCorporaton

HKCUIControlPaneADesktop

c:Wndowslsystem32sansaV…

SareenSave

wdmaud.dry

HKIMISOFTWAREWMAOSOfIWDOwSNTICUREntVerSIon\DrVeT532

MiaosoftCorporaton

Dmver32Aux

Clwindowslsystem32wdmaud…

wdmaud.dry

HKIMISOFTWAREIWOW6432NODEMOOHWDWSNTCUREnVeISONDIS32

MicosoftCorporaton

Dmiver32AuxW…

Clindowslsystem32wvdmaud…

HKIMISYSTEMCurentContoSetiContSesSoNManqrIKnOWNDLLS

MicrosoftCorparation

KnownDLLS

WOY61cPU.DI

HKIMISYSTEMCURRentCONROSEtiContrONSeSSoNMAnaqeRIKNOWNDLLS

文件不存在

KnownDLLS

wowarmhww.dll

HKLMISYSTEMCUentContRolSeIControlSeSSionMangERIKNOWNDLLS

文件不存在

KnownDLLS

Sxtajt

xtat.d

HKIMISYSTEMICUREntCOntROLSeTIContrOlSESSoNMAnAGERKNONNDLLS

KnownDLLS

advap32

MiaosoftComporaton

adyapB2.dl

HKIMISYSTEMCRentContobetiContoSessonManagerKnOwnDLLS

KnownDLLS

dbcatq

MdosoftCorporation

dbcatq.dl

HKLMISYSTEMICuIentControSetIControSessionManagerKNOWDLLs

KnownDLLs

combase

MicosoFtCorporation

combase.di

HKIMISYSTEMAUIRENtCoNtROSeLContoSesSoNManaqeRKnOwnDLLS

内COMDLG32

KnownDLLs

COMDLG32.DI

MiarosoftCorporaton

HKIMISYSTEMCURenTCONtROLSeTICoNtrolSeSSionManageRIKNOWNDLLS

KnownDLLs

MicrosoftCorporaton

comR

com2.d

HKIMISYSTEMCURENLCONROSERICONAONSESSONMAnagERIKNOWNDLLS

KnownDLLS

DifxApi

ixapidl

MicrosoftCorporation

HKLMISYSTEMCUREntControlsetiControessionMaqwLL

gdi32

KnownDLLS

qd32dl

MaosoftComoraton

竖HKLMISYSTEMICUREntControbetContRolessonManagrKnownLL5

KnownDLLS

MaosoftCorporation

gdiplus

gdpus.d

IMAGEHLPDI

HKIMISYSTEMCreNtContobetiContolSesSoManerKDLL

MaosoftCorporaton

IMAGEHLP

KnownDLLs

windows的所有启动项

可以用powertool进行注册表定位

%appdata%\Microsoft\Windows\Start Menu\Programs\Startup
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup 

%appdata%\Microsoft\Windows\Start Menu\Programs\Startup
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx\0001 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx\0001\Depend

windows隐藏文件

使用这个命令就看不到文件了

attrib +s +a +h +r D:\test\project\test.txt

如果应急需要排查，可以勾掉下面的推荐框，就可以看到隐藏的文件

文件夹选项

查看

常规

搜索

文件夹视图

你可以将此视图(如详细信息或图标)应用于这种类型的所

有文件夹.

重置文件夹(?)

应用到文件夹(L)

高级设置:

显示驱动器号

显示同步提供程序通知

显示状态栏

隐藏空的驱动器

隐藏受保护的操作系统文件(推荐)

隐藏文件和文件夹

不显示隐藏的文件,文件夹或驱动器

显示隐藏的文件,文件夹和驱动器

隐藏文件夹合并冲突

隐藏已知文件类型的扩展名

用彩色显示加密或压缩的NTFS文件

在标题栏中显示完整路径

在单独的进程中打开文件夹窗口

还原为默认值(D)

应用(A)

确定

取消

cs进程注入排查

首先查看外联，看看哪个系统服务有外联的情况

然后根据对应的进程id去查看对应服务的dll文件，看是不是有非系统文件

若有收获，就点个赞吧