Windows应急响应

        临近冬奥、残奥，发一篇Windows的应急响应，希望对大家有所帮助，下一篇会发Linux的应急响应。

---

目录

Part1 前期交互

Part2 主机排查

Part3 工具篇

---

Part1 前期交互

这个阶段主要是先找客户了解主机的基本情况。如：

• 主机是否存在弱口令

• 主机是否对外网接通

• 什么时候发现电脑被入侵，网络攻击的事件类型。

• 主机日常是否有人进行维护

• 主机是作为客户机还是服务器

  • 客户机：最近有没有点一些恶意链接，或收到钓鱼邮件

  • 服务器：主机开放了什么服务，日常扮演的角色。

当我们对这台主机了解的越多，我们就越能有一个明确的排查思路，工作就会比较流畅。

Part2 主机排查

查看这台主机的操作系统信息。
1、开始-》运行-》cmd-》systeminfo

2、开始-》运行-》appwiz.cpl-》已安装更新

从中查找这台主机的系统版本和所安装的补丁，判断是否有漏装的补丁。如：代号为KB4012212,KB4012215的补丁是微软针对Windows server 2008R2发布的永恒之蓝漏洞补丁。
查看开放端口
1、开始-》运行-》cmd-》netstat -ano

注意开放的可疑端口，如果主机未进行断网，则可能还在进行外连，这时需要重点注意ESTABLISHED。 如果有些开放的端口你不太清楚干什么用的，可以在C:\Windows\System32\drivers\etc\service查看

当你发现某个端口不正常的时候，可以输入tasklist ｜ findstr 'pid'进行进程查看。
查看运行的进程
1、开始-》运行-》cmd-》tasklist

2、开始-》运行-》cmd-》wmic process
3、查看某个进程的详情信息 开始-》运行-》cmd-》wmic process where name='进程名' list full 4、任务管理器-》详细信息

5、查看进程运行的位置

• 观察可疑进程主要观察。

  • 没有签名验证信息的进程

  • 没有描述信息的进程

  • 进程的属主

  • 进程的路径是否合法

  • CPU或内存资源占用长时间过高的进程

日志分析 1、开始-》运行-》eventvwr.exe

主要看应用安全和系统
可根据时间和关键字进行筛选

• 重要的事件 ID（安全日志，Security.evtx）

  • 4624：账户成功登录

  • 4648：使用明文凭证尝试登录

  • 4778：重新连接到一台 Windows 主机的会话

  • 4779：断开到一台 Windows 主机的会话

查看用户 1、开始-》运行-》lusrmgr.msc

2、开始-》运行-》cmd-》net user

3、去C:\Users查看是否有多出的家目录
4、开始-》运行-》cmd-》query user。查看现在在线的用户

5、开始-》运行-》cmd-》net user 用户名 查看用户名上次登录时间

注意是否存在异常用户，或者隐藏用户，克隆用户， 打开lusrmgr.msc用户，用户名后面如果有$则是隐藏用户。可以结合日志，查看用户的异常登录时间 查看开机启动
1、任务管理器-》启动

2、设置-》应用-》启动

3、开始-》所有程序-》启动 4、开始-》运行-》msinfo32-》软件环境-》启动程序

5、检查注册表
HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce

查看计划任务

1、开始-》运行-〉taskschd.msc

2、开始-》运行-〉cmd-》at或者schtasks.exe。

如果存在445端口查看文件共享
开始-》运行-》cmd-》net share

查看服务 开始-》运行-》services.msc

查看是否存在可疑的自启服务

敏感目录排查

• %WINDIR%

• %TEMP%

• %UserProfile%\Recen 最近打开的文件

• %LOCALAPPDATA%

• %APPDATA%

• 各盘下的tmp缓存目录，例如C:\Windows\Temp

组策略排查 开始-》运行-》gpedit.msc

中间件日志分析
关于服务器上的中间件，就去存放日志的地方进行分析。

Part3 工具篇

病毒分析

PCHunter：http://www.xuetr.com

火绒剑：https://www.huorong.cn

Process Explorer：https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorer

processhacker：https://processhacker.sourceforge.io/downloads.php

autoruns：https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns

OTL：https://www.bleepingcomputer.com/download/otl/

SysInspector：http://download.eset.com.cn/download/detail/?product=sysinspector

病毒查杀

卡巴斯基：http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe

大蜘蛛：http://free.drweb.ru/download+cureit+free

火绒安全软件：https://www.huorong.cn

360杀毒：http://sd.360.cn/download_center.html

病毒动态

CVERC-国家计算机病毒应急处理中心：http://www.cverc.org.cn

微步在线威胁情报社区：https://x.threatbook.cn

火绒安全论坛：http://bbs.huorong.cn/forum-59-1.html

在线病毒扫描网站

多引擎在线病毒扫描网：http://www.virscan.org

腾讯哈勃分析系统：https://habo.qq.com

Jotti恶意软件扫描系统：https://virusscan.jotti.org

针对计算机病毒、手机病毒、可疑文件等进行检测分析：http://www.scanvir.com

webshell查杀

D盾_Web查杀：http://www.d99net.net/index.asp

河马webshell查杀：http://www.shellpub.com

深信服Webshell网站后门检测工具：http://edr.sangfor.com.cn/backdoor_detection.html

在线沙箱分析

360安全大脑沙箱云：https://ata.360.net/dashboard
微步云沙箱：https://s.threatbook.cn/
魔盾安全分析：https://www.maldun.com/submit/submit_file/

---

“D&X 安全实验室”

专注渗透测试技术

全球最新网络攻击技术