搜索

[18902] 2020-08-21_应急响应手册-Windows排查技巧（一）

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-08-21_应急响应手册-Windows排查技巧（一） 应 急 响 应 手 册 - W i n d o w s 排 查 技 巧 （ 一 ） 原 创   花 十 一 一   h u a s e c   2 0 2 0 - 0 8 - 2 1 收 录 于 话 题   # 应 急 响 应   , 2 6 个 应 急 响 应 手 册 - W i n d o w s 排 查 流 程 应 急 响 应 手 册 - 程 序 执 行 痕 迹 在 应 急 响 应 c a s e 中 我 们 常 常 会 遇 到 取 证 主 机 会 连 的 C 2 已 经 不 存 在 解 析 ， 那 么 如 何 定 位 是 哪 个 进 程 为 恶 意 木 马 呢 ， 下 面 介 绍 三 种 方 法 。 0 1 — 绑 定 h o s t s 失 陷 主 机 上 的 木 马 会 主 动 去 连   j j . f u g u 1 8 0 . p w ， 但 是 w i r e s h a r k 是 抓 不 到 进 程 p i d ， 它 仅 仅 支 持 从 某 一 网 卡 抓 包 ， 并 不 关 心 包 来 自 于 哪 个 进 程 。 有 时 候 即 使 能 抓 到 D N S 查 询 的 对 应 进 程 ， 其 实 也 只 能 抓 到 w i n d o w s 下 的 D N S   C l i e n t ： s v c h o s t . e x e 进 程 ， 实 际 并 无 意 义 ， 我 们 依 然 不 知 道 背 后 到 底 是 哪 个 进 程 在 请 求 j j . f u g u 1 8 0 . p w 。 这 里 采 用 的 定 位 方 法 为 改 h o s t s 文 件 ， 域 名 本 地 解 析 然 后 打 开 进 程 查 看 器 ， 成 功 获 取 到 木 马 进 程 。 0 2 —
s y s m o n 下 载 地 址 ： h t t p s : / / d o w n l o a d . s y s i n t e r n a l s . c o m / f i l e s / S y s m o n . z i p 使 用 方 法 : - c   更 新 或 显 示 配 置 - h   指 定 h a s h 记 录 的 算 法 - i   安 装 ， 可 用 x m l 文 件 来 更 新 配 置 文 件 - l   记 录 加 载 模 块 ， 可 指 定 进 程 - m   安 装 事 件 清 单 - n   记 录 网 络 链 接 - r   检 测 证 书 是 否 撤 销 - u   卸 载 服 务 和 驱 动   将 S y s m o n 注 册 到 W i n d o w s 系 统 中 S y s m o n . e x e   - a c c e p t e u l a   - i   - n 注 意 ： 3 2   位 系 统 用   S y s m o n . e x e ， 6 4   位   W i n d o w s   推 荐 使 用   S y s m o n 6 4 . e x e 。   注 册 完 成 后 ， 在 「 事 件 查 看 器 」 — — 「 应 用 程 序 和 服 务 日 志 」 — — 「 M i c r o s o f t 」 — — 「 W i n d o w s 」 下 会 多 出 一 项 「 S y s m o n 」 文 件 夹 ， 其 中 记 录 了   S y s m o n   写 入 到   E v e n t   L o g   中 的 所 有 事 件 。 如 果 要 取 消   S y s m o n   对 系 统 的 监 控 以 及 对 事 件 日 志 的 写 入 操 作 ， 可 以 使 用 以 下 命 令 ： S y s m o n 6 4 . e x e   - u   当 然 ， 其 实   W i n d o w s   本 身 的 事 件 日 志 也 是 支 持 记 录   D N S   查 询 日 志 的 ， 但 需 要 用 户 手 动 启 动 ： 1 . 使 用   W i n d o w s   +   R   快 捷 键 打 开 「 运 行 」 — — 执 行 e v e n t v w r . m s c   打 开 「 事 件 查 看 器 」 2 . 浏 览 到 「 应 用 程 序 和 服 务 日 志 」 — — 「 M i c r o s o f t 」 — — 「 W i n d o w s 」 — — 「 D N S   C l i e n t E v e n t s   」 3 . 右 击 「 O p e r a t i o n a l   」 — — 选 择 「 启 用 日 志 」 即 可
0 3 — 火 绒 剑 火 绒 剑 中 的 进 程 监 控 可 以 看 到 对 外 的 d n s 请 求 ， 在 系 统 - > 过 滤 - > 动 作 过 滤 - >   选 择 网 络 监 控 ， 然 后 就 会 捕 获 进 程 发 起 的 D N S 请 求 ， 成 功 定 位 恶 意 进 程 。 想 要 知 道 更 多 技 巧 ， 未 完 待 续 。 。 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理