《网络安全自学教程》- Windows应急响应排查思路

已于 2025-02-15 20:00:04 修改
阅读量1.4w 收藏 99
点赞数 79
分类专栏： 《网络安全自学教程》 文章标签： 网络安全 人工智能 web安全 安全
于 2023-04-17 10:48:58 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wangyuxiang946/article/details/130167924
版权
本文介绍了Windows应急响应的排查流程，包括系统信息、日志分析、网络分析、进程服务、文件痕迹的检查。重点讲解了如何查看系统配置、用户信息（包括隐藏用户和克隆账户）、启动项、计划任务以及日志，以寻找攻击者留下的线索。此外，还涉及了网络连接状态的检查、进程服务管理和文件痕迹分析，提供了相关工具如AutoRuns、TCPView和Process Explorer的使用建议。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

《网络安全自学教程》

在这里插入图片描述

Windows应急响应从网络、进程、用户、启动项、计划任务、日志六个方面入手，分析攻击行为，还原攻击路径，从而针对性防御。

在这里插入图片描述

Windows应急响应


事件通常是从流量设备的告警中发现的，告警中会显示攻击IP、受害IP以及攻击方式。用户根据IP找到受害主机后，我们开始上机排查。

1、网络行为

如果知道外联地址等信息，就直接过滤 netstat -ano | findstr "外联IP"。

如果不知道，就逐一排查。

  1. netstat -ano | findstr "ESTABLISHED" 检查网络连接。外部IP放到TI、微步等平台检查是
了解本专栏 订阅专栏 解锁全文 超级会员免费看
《网络安全自学教程》- Linux应急响应排查思路
wangyuxiang946的博客
05-29 5万+
结合实战案例逐步讲解Linux应急响应排查思路。
《网络安全自学教程》- 应急响应标准流程
wangyuxiang946的博客
07-02 1万+
这篇文章带大家解读安全事件分类分级，应急响应的组织架构和流程，以及灾备相关知识。
Windows应急响应--网站被入侵后的排查【跟随安全狍老师学习总结】
2201_75866896的博客
07-05 849
学习安全狍老师的小笔记
Liunx应急上机排查脚本
Delphinidae
06-27 799
应急排查 建议先清除计划任务、启动项、守护进程，再清除恶意进程。 应急排查收集常见信息脚本 #!/bin/bash #Liunx 应急响应上机信息收集 #应急清理：建议先清除计划任务、启动项、守护进程，再清除恶意进程。 # busybox 安装 #yum -y install wget make gcc perl glibc-static ncurses-devel libgcrypt-devel #wget http://busybox.net/downloads/busybox-1.33.0.tar.
Windows应急响应-排查方式_windows应急响应排查
最新发布
jennycisp的博客
02-07 1102
网络安全应急响应（Network Security Incident Response，又称CSIRT）是指团队或组织为了在网络安全事件发生时能够及时准确地做出反应和应对而建立的一套制度和流程。其目的是降低网络安全事件所造成的损失并迅速恢复受影响的系统和服务。常见的应急响应事件分类：常见的应急响应事件可分为四类，如下。
应急响应基础 -- Windows，2024年最新实战分析
2401_84240129的博客
04-11 733
net use | 远程连接 || net share | 查看当前用户下的共享目录 || %UserProfile%\Recent%APPDATA%\Microsoft\Windows\Recent | 最近打开文件 || findstr /m /i /s “hello” *.txt | 查找文件中的字符串（可用于查找webshell） || wmic rocess | 获取系统进程信息 |
Windows应急响应(超详细）
csjjjd的博客
07-15 2757
要进行应急响应，通俗来讲，首先你得知道攻击你的是啥。常见的攻击归类如下：1.系统入侵：病毒木马、勒索软件、远控后门2.web入侵：网页挂马、主页篡改、Webshell 3.网络攻击：DDOS攻击、DNS劫持、ARP欺骗这个在应急响应整个流程里面还是相对容易的，比如你的网站出事了，被人挂了马或图片，很明显就是web入侵。如果你被勒索或者被挖矿，或者病毒入侵，都可以视为系统入侵，因为已经打到了你的系统层面，可以调用你的一些系统权限，很明显就是一个系统入侵。网络攻击查看一手流量分析，实时监控网络就可以看出，不必多
应急响应-windows-系统排查
qq_50765147的博客
01-21 1442
系统排查 在进行受害主机排查时，首先要对主机系统进行基本排查，方便对受害主机有一个初步的了解。 系统基本信息 Windows系统 在基础排查时，可以使用Microsoft系统信息工具（Msinfo32.exe）,他是Microsoft Windows NT诊断工具（Winmsd.exe）的更新版本。 系统信息工具 在命令行中输入【msinfo32】命令，打开【系统信息】窗口，如图所示，可以显示本地计算机的硬件资源、组件和软件环境的信息。除了各方面的概述信息，还可以对
Windows应急响应排查
swordheart的博客
08-24 2724
对于“驱动人生”挖矿木马、wannamine之类已知的可以通过流行病毒处置引擎查杀的木马，如果全盘扫描没有结果时，可以尝试用快速扫描；原因是文件查杀引擎和流行病毒处置引擎是并行关系，当主机性能较低时，可能会导致流行病毒处置引擎超时。
《网络安全自学教程》- 挖矿病毒排查思路和处置步骤
热门推荐
wangyuxiang946的博客
05-05 2万+
首先根据CPU占用率确定确定挖矿进程，找到母体文件并清除。 而后是检查计划任务、启动项中，挖矿木马的持久化操作，杜绝复发。 最后通过账号、日志、母体文件等信息，溯源攻击路径。
全国(山东、安徽)职业技能大赛——“司法技术” XSC3-Windows应急响应 WP+环境
人若无名，便可专心练剑
09-16 496
靶机系统：Windows Server 2008 R2 Standard题目思路：选手通过排查IIS网站目录发现ADS隐藏文件，通过分析系统日志与后门找到可以进程以及相应的恶意行为知识点：NTFS文件交换流技术、后门文件隐藏、sethc黏贴键进阶后门、waitfor后门。
Windows应急响应-入侵排查
weixin_52501704的博客
10-29 2369
应急响应
【安全服务】应急响应1：流程、排查与分析
kkza的博客
09-08 1万+
一、应急响应流程 应急响应分为六个阶段，分别是 准备 —— 检测 —— 抑制 —— 根除 —— 恢复 —— 总结 这种划分方法也称PDCERF方法 实际上，应急响应并不是严格遵从这个方法的，大多数情况都要具体问题具体分析 1 准备阶段 以预防为主，主要是要进行风险评估等工作，包括建立信息安全管理体系、部署安全设备和安装防护软件、建立应急响应和演练制度等等。 2 检测阶段 这个阶段是在安全事件发生后的，主要是判断安全事件是否还在发生，安全事件产生的原因，对业务的危害程度以及预计如何处理。 ..
【实战】服务隐藏与排查 | Windows 应急响应
jijisaq的博客
03-26 1620
攻击者通过创建服务进行权限维持过程中，常常会通过一些手段隐藏服务，本文主要演示通过配置访问控制策略来实现隐藏的方式以及排查方法的探索不包含通过修改内存中链表进行隐藏的方式。
【网络安全】安全事件管理处置 — windows应急响应
享你所想
04-26 1186
一、账户排查 二、windows网络排查 三、进程排查 四、windows注册表排查 五、内存分析
Window入侵排查
qq_40907977的博客
12-26 1011
0x00 前言 当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。 常见的应急响应事件分类： web入侵：网页挂马、主页篡改、Webshell 系统入侵：病毒木马、勒索软件、远控后门 网络攻击：DDOS攻击、DNS劫持、ARP...
【应急响应】Windows应急响应 - 基础命令篇
网络安全从业者的学习笔记
07-02 3857
在如今的数字化时代，Windows系统面对着越来越复杂的网络威胁和安全挑战。本文将深入探讨在Windows环境下的实战应急响应策略。我们将重点关注实际应急响应流程、关键工具的应用，以及如何快速准确地识别和应对安全事件。通过分享实际案例分析，旨在帮助网络安全从业者提升应急响应能力，有效保护关键资产和数据的安全。
如果TCP连接出现问题该如何排查，说明排查的思路
usstmiracle的博客
09-16 7391
以上是我对TCP连接问题排查思路的简要介绍，如果您想了解更多的细节和实例，您可以参考以下一些网页：- [TCP连接的状态详解以及故障排查](^1^)：这个网页介绍了TCP连接的各个状态以及相关的命令和工具。- [TCP/IP 通信故障排除指南](^2^)：这个网页提供了一个故障排除清单和一些常见问题和解决方案。- [Connection reset原因分析及解决思路](^3^)：这个网页分析了一种常见的TCP连接异常情况，并给出了相应的解决思路。
[ 应急响应基础篇 ] evtx提取安全日志 & 事件查看器提取安全日志
qq_51577576的博客
04-13 3582
[ 应急响应基础篇 ] evtx提取安全日志 & 事件查看器提取安全日志 在应急响应过程中，提取日志进行日志分析是必须的。 这里简单介绍一下windows日志，以及采用evtx提取安全日志和事件查看器提取安全日志。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

士别三日wyx

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值