如何通过系统命令排查账号安全？

Ryongao

已于 2024-01-22 23:30:13 修改

阅读量795

点赞数 16

分类专栏：网络安全文章标签：网络安全

于 2024-01-22 17:18:19 首次发布

本文链接：https://blog.csdn.net/weixin_44415748/article/details/135753261

版权

网络安全专栏收录该内容

27 篇文章 0 订阅

订阅专栏

本文详细介绍了通过系统命令如netuser、Logparser、WEBshell扫描、检查异常端口和启动项等方法，来排查账号安全问题，以及使用注册表、计划任务管理和最近打开文件历史来加强账户保护措施。

摘要由CSDN通过智能技术生成

如何通过系统命令排查账号安全

query user 查看当前登录账号
在这里插入图片描述
logoff id 注销用户id
net user 查看用户

net user username 查看用户登录情况
lusrmgr.msc

查看隐藏账号

win+R打开regedit注册表
找到计算机\HEKY_LOCAL_MACHINE\SAM\SAM\右键给与用户读写权限
刷新打开
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Users\查看是否存在可疑用户
在这里插入图片描述

通过Logparser查看日志

eventvwr.exe打开事件查看器导出安全日志
查看用户登录情况
LogParser.exe -i:EVT “SELECT TimeGenerated,EXTRACT_TOKEN(Strings,5,‘|’) AS USERNAME,EXTRACT_TOKEN(Strings,5,‘|’) AS SERVICE_NAME,EXTRACT_TOKEN(Strings,5,‘|’) AS Client_IP FROM ‘C:\Users\Ryongao\Desktop\1.evtx’ WHERE EventID=4624”
我这边是没有信息
$LogParser.exe -i:EVT –o:DATAGRID "SELECT EXTRACT_TOKEN(Strings,5,'|') as EventType,TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,'|') as Username,EXTRACT_TOKEN(Strings,5,'|') as Loginip FROM C:\Users\Ryongao\Desktop\1.evtx where EventID=4624"$
查看登录成功的事件
LogParser.exe -i:EVT -o:DATAGRID “SELECT * FROM ‘C:\Users\Ryongao\Desktop\1.evtx’ where EventID=4624”
在这里插入图片描述

使用WEBshell扫描D盾

通过web日志判断攻击方式
lis7默认日志存放位置
C:\inetpub\logs\LogFiles\随机目录名
Weblogic默认日志存放地址
C:\Oracle
\Middleware\user
_projects
\domains\base_domain\servers\AdminServer\logs