![](https://img-blog.csdnimg.cn/20201014180756928.png?x-oss-process=image/resize,m_fixed,h_64,w_64)
应急响应
文章平均质量分 76
11111
曲折上升
潜心学安全,低调求发展,努力成为全栈安全专家!
展开
-
应急响应-日志分析
日志概述在Windows系统中,日志文件包括:系统日志、安全性日志、应用程序日志:如何查看:右键我的电脑-管理-系统工具-事件查看器,或者eventvwr查看事件查看器打开Windows系统的事件查看器,右键单击系统或安全日志,选择筛选当前日志,在筛选器中输入下列事件ID即可。系统:1074,通过这个事件ID查看计算机的开机、关机、重启的时间以及原因和注释。6005,表示计算机日志服务已启动,如果出现了事件ID为6005,则表示这天正常启动了系统。原创 2022-11-22 10:00:00 · 1246 阅读 · 4 评论 -
应急响应-文件痕迹排查
在应急响应排查的过程中,由于大部分的恶意软件、木马、后门等都会在文件维度上留下痕迹,因此对文件痕迹的排查必不可少。时间点查找应急响应事件发生后,需要先确认事件发生的时间点,然后排查时间点前后的文件变动情况,从而缩小排查的范围。通过列出攻击日期内变动的文件,可以发现相关的恶意软件。系统中的恶意文件存在特定的设置、和关键字信息等。原创 2022-11-21 14:32:22 · 1142 阅读 · 0 评论 -
应急响应-进程排查
进程是计算机中的程序关于某数据集合上的一次运行活动,是系统进行资源分配和调度的基本单位,是操作系统结构的基础。无论在Windows还是Linux中,主机在感染恶意程序后,恶意程序都会启动相应进程来完成恶意操作。原创 2022-11-20 17:12:01 · 1453 阅读 · 0 评论 -
应急响应-计划任务排查
由于很多计算机都会自动加载“计划任务”,“计划任务”也是恶意病毒实现持久化驻留的一种常用手段,因此在应急响应事件排查时需要进行排查。通俗的讲会定期执行某些操作。原创 2022-11-20 17:08:57 · 874 阅读 · 0 评论 -
应急响应-服务排查
服务可以理解为运行在后台的进程。这些服务可以在计算机启动时自动启动,也可以暂停和重新启动,而且不显示任何用户界面。服务非常适合在服务器上使用,通常在为了不影响在同一台计算机上工作的其他用户,且需要长时间进行功能时使用。在应急响应排查过程中,服务作为一种运行在后台的进程,是恶意软件常用的驻留方式。原创 2022-11-19 23:57:01 · 177 阅读 · 0 评论 -
应急响应-账户排查
在服务器被入侵之后,攻击者可能会建立相关账户,方便进行远程控制。主要采用一下几种:1. 直接建立一个新用户;(有时候为了混淆视听,账户名称和系统常用名相似)2. 激活一个系统中的默认用户,但是这个用户不经常使用;3. 建立一个隐藏用。(在windows中,一般在用户名后加$)无论攻击者采用哪种方法,都会在获取账户后,使用工具或是利用相关漏洞将这个用户提升到管理员权限,然后通过这个账户任意控制计算机。原创 2022-11-19 23:55:04 · 2066 阅读 · 0 评论