Windows入侵排查篇——

Windows入侵排查方法

• 服务器

• 查看服务器是否有弱口令，远程管理端口是否对公网开放
  • 检查方法：视具体情况询问相关管理人员
• 查看服务器是否存在可疑账号、新增账号
  • 检查方法：通过win+R打开 输入lusrmgr.msc
• 查看服务器是否存在隐藏账号、克隆账号
  • 检查方法：打开注册表，查看管理员对应键值
  • 使用D盾_webshell查杀工具，可以以对克隆账号进行检测

• 系统日志

• 结合系统登录日志，查看管理员登录时间、用户名是否存在异常
  • 检查方法：win+R打开运行，输入“eventvwr.msc”回车之后，打开“事件查看器”
  • 导出windows日志——安全 利用 Log Parser进行分析
  • query user 可以查看是否在线

• 端口

• 检查端口连接情况，是否有远程连接，可疑连接
• netstat  -ano  查看网络连接，定位可疑ESTABLISHED
• 根据netstat定位的pid，通过tasklist  |  findstr  "pid"定位其进程程序

• 进程

• 检查进程
  • 检查方法：开始—>运行->输入msinfo32依次点击“软件环境—>正在运行任务”就可以查看到进程的详细信息，比如进程路径、进程ID、文件创建日期、启动时间等

启动项

• 检查启动项
  • 检查方法：检查服务器是否有异常的启动项
  • 登录服务器，单击开始—>所有程序—>启动，默认情况下此目录在是一个空目录，确认是否有非业务程序在该目录下
  • 单击开始菜单—>运行msconfig，查看是否存在命名异常的启动项目，是则取消勾选命名异常的启动项目，并到命令中显示的路径删除文件
  • 单击—>开始—>运行，输入regedit，打开注册表，查看开机启动项是否正常

  • 

  • 组策略，运行gpedit.msc

计划任务

• 检查计划任务
  • 检查方法：单击—>控制面板—>系统和安全—>管理工具—>任务计划，查看计划任务属性，可以发现木马文件的路径

服务

• 服务自启动
  • 检查方法：单击开始—>运行，输入servcies.msc，注意服务状态和启动类型，检查是否有异常服务