windows计划任务 0xff_Windows服务器入侵检测排查方法

Windows服务器入侵检测排查

一、文件排查

1)开机启动有无异常文件

【文件】→【运行】→【msconfig】

2)各个盘下的temp(tmp)相关目录下查看有无异常文件：Windows产生的临时文件：

3)Recnt是系统文件夹，里面存放着你最近使用的文档的快捷方式，查看用户recent相关文件，通过分析最近打开分析可疑文件：

【开始】→【运行】→【%UserProfile%、Recent】

4)根据文件夹内文件列表时间进行排序，查找可疑文件。当然也可以搜索指定日期范围的文件及文件：

Windows Server 2008 R2

Windows 10

5)查看文件时间，创建时间、修改时间、访问时间，黑客通过菜刀类工具改变的是修改时间。所以如果修改时间在创建时间之前明显是可疑文件

二、端口、进程排查

1)netstat -ano //查看目前的网络连接，定位可疑的ESTABLISHED

netstat //显示网络连接、路由表和网络接口信息；

参数说明：

常见的状态说明：

LISTENING //倾听状态

ESTABLISHED //建立连