搜索

[21391] 2020-11-08_Windows应急响应思路及技巧

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-11-08_Windows应急响应思路及技巧 W i n d o w s   应 急 响 应 思 路 及 技 巧 安 全 先 师   L e m o n S e c   2 0 2 0 - 1 1 - 0 8 1 .   W i n d o w s   的 应 急 事 件 大 体 分 类 的 应 急 事 件 大 体 分 类 W i n d o w s   系 统 的 应 急 事 件 ， 按 照 处 理 的 方 式 ， 可 分 为 下 面 几 种 类 别 ： 系 统 的 应 急 事 件 ， 按 照 处 理 的 方 式 ， 可 分 为 下 面 几 种 类 别 ： 2 .   通 用 排 查 思 路 通 用 排 查 思 路 入 侵 肯 定 会 留 下 痕 迹 ， 另 外 重 点 强 调 的 是 不 要 一 上 来 就 各 种 查 查 查 ， 问 清 楚 谁 在 什 么 时 间 发 现 的 主 机 异 常 情 况 ， 异 常 的 现 象 是 什 么 ， 受 害 用 户 做 了 什 么 样 的 紧 急 处 理 。 问 清 楚 主 机 异 常 情 况 后 ， 需 要 动 脑 考 虑 为 什 么 会 产 生 某 种 异 常 ， 从 现 象 反 推 可 能 的 入 侵 思 路 ， 再 考 虑 会 在   W i n d o w s   主 机 上 可 能 留 下 的 痕 迹 ， 最 后 才 是 排 除 各 种 可 能 ， 确 定 入 侵 的 过 程 。 获 取   W i n d o w s   的 基 本 信 息 ， 如 机 器 名 称 、 操 作 系 统 版 本 、 O S   安 装 时 间 、 启 动 时 间 、 域 名 、 补 丁 安 装 情 况 ， 使 用 s y s t e m i n f o 命 令 获 取 。 运 行 m s i n f o 3 2 也 可 以 查 看 计 算 机 的 详 细 信 息 。 2 . 1   直 接 检 查 相 关 日 志 直 接 检 查 相 关 日 志 任 何 操 作 （ 人 、 程 序 、 进 程 ） 都 会 导 致 产 生 相 关 日 志 2 . 1 . 1   W i n d o w s   日 志 简 介 日 志 简 介 日 志 记 录 了 系 统 中 硬 件 、 软 件 和 系 统 问 题 的 信 息 ， 同 时 还 监 视 着 系 统 中 发 生 的 事 件 。 当 服 务 器 被 入 侵 或 者 系 统 （ 应 用 ） 出 现 问 题 时 ， 管 理 员 可 以 根 据 日 志 迅 速 定 位 问 题 的 关 键 ， 再 快 速 处 理 问 题 ， 从 而 极 大 地 提 高 工 作 效 率 和 服 务 器 的 安 全 性 。 W i d d o w s   通 过 自 带 事 件 查 看 器 管 理 日 志 ， 使 用 命 令 e v e n t v w r . m s c 打 开 ， 或 者   W i n d o w s   1 0   搜 索 框 直 接 搜 索 事 件 查 看 器 ， 或 者 使 用 开 始 菜 单 - W i n d o w s   管 理 工 具 - 事 件 查 看 器 打 开 。 病 毒 、 木 马 、 蠕 虫 事 件 W e b   服 务 器 入 侵 事 件 或 第 三 方 服 务 入 侵 事 件 系 统 入 侵 事 件 ， 如 利 用   W i n d o w s   的 漏 洞 攻 击 入 侵 系 统 、 利 用 弱 口 令 入 侵 、 利 用 其 他 服 务 的 漏 洞 入 侵 ， 跟   W e b   入 侵 有 所 区 别 ， W e b   入 侵 需 要 对   W e b   日 志 进 行 分 析 ， 系 统 入 侵 只 能 查 看   W i n d o w s   的 事 件 日 志 。 网 络 攻 击 事 件 （ D D o S 、 A R P 、 D N S   劫 持 等 ）
W i n d o w s   日 志 位 置 W i n d o w s   2 0 0 0 / S e r v e r 2 0 0 3 / W i n d o w s   X P W i n d o w s   V i s t a / 7 / 1 0 / S e r v e r 2 0 0 8 : 日 志 审 核 策 略 ， 使 用 命 令 a u d i t p o l   / g e t   / c a t e g o r y : * 其 他 一 些 可 能 会 用 到 的 事 件 日 志 的 位 置 ： % S y s t e m R o o t % S y s t e m 3 2 C o n f i g * . e v t % S y s t e m R o o t % S y s t e m 3 2 w i n e v t L o g s * . e v t x C : W i n d o w s S y s t e m 3 2 W D I L o g F i l e s B o o t C K C L . e t l S h u t d o w n C K C L . e t l
W i n d o w s   日 志 日 志 S e c o n d a r y L o g O n C K C L . e t l W d i C o n t e x t . e t l . < # # # > C : W i n d o w s S y s t e m 3 2 W D I < g u i d > < g u i d > < / g u i d > < / g u i d > s n a p s h o t . e t l C : W i n d o w s S y s t e m 3 2 L o g F i l e s W M I W i f i . e t l L w N e t L o g . e t l C : W i n d o w s S y s t e m 3 2 S l e e p S t u d y - < h h > - < m m > - < s s > . e t l < / s s > < / m m > < / h h > < / m m > < / y y y y > - < h h > - < m m > - < s s > . e t l < / s s > < / m m > < / h h > < / m m > < / y y y y > - < h h > - < m m > - < s s > . e t l < / s s > < / m m > < / h h > < / m m > < / y y y y > U s e r N o t P r e s e n t S e s s i o n . e t l a b n o r m a l - s h u t d o w n - < y y y y > - < m m > - u s e r - n o t - p r e s e n t - t r a c e - < y y y y > - < m m > - S c r e e n O n P o w e r S t u d y T r a c e S e s s i o n - < y y y y > - < m m > -
系 统 日 志 系 统 日 志 包 含 W i n d o w s 系 统 组 件 记 录 的 事 件 。 例 如 ， 系 统 日 志 中 会 记 录 在 启 动 过 程 中 加 载 驱 动 程 序 或 其 他 系 统 组 件 失 败 。 系 统 组 件 所 记 录 的 事 件 类 型 由 W i n d o w s 预 先 确 定 。 应 用 程 序 日 志 应 用 程 序 日 志 包 含 由 应 用 程 序 或 程 序 记 录 的 事 件 。 例 如 ， 数 据 库 程 序 可 在 应 用 程 序 日 志 中 记 录 文 件 错 误 。 程 序 开 发 人 员 决 定 记 录 哪 些 事 件 。 安 全 日 志 安 全 日 志 包 含 诸 如 有 效 和 无 效 的 登 录 尝 试 等 事 件 ， 以 及 与 资 源 使 用 相 关 的 事 件 ， 如 创 建 、 打 开 或 删 除 文 件 或 其 他 对 象 。 管 理 员 可 以 指 定 在 安 全 日 志 中 记 录 什 么 事 件 。 例 如 ， 如 果 已 启 用 登 录 审 核 ， 则 安 全 日 志 将 记 录 对 系 统 的 登 录 尝 试 。 关 于 安 全 日 志 登 录 部 分 的 事 件   I D   和 登 录 类 型 代 码 的 含 义 见 下 面   2   个 表 。 常 用 事 件   I D   含 义
E v e n t   I D ( 2 0 0 0 / X P / 2 0 0 3 ) E v e n t   I D ( V i s t a / 7 / 8 / 2 0 0 8 / 2 0 1 2 ) 描 述 描 述 日 志 名 称 日 志 名 称 5 2 8 4 6 2 4 成 功 登 录 S e c u r i t y 5 2 9 4 6 2 5 失 败 登 录 S e c u r i t y 6 8 0 4 7 7 6 成 功 / 失 败 的 账 户 认 证 S e c u r i t y 6 2 4 4 7 2 0 创 建 用 户 S e c u r i t y 6 3 6 4 7 3 2 添 加 用 户 到 启 用 安 全 性 的 本 地 组 中 S e c u r i t y 6 3 2 4 7 2 8 添 加 用 户 到 启 用 安 全 性 的 全 局 组 中 S e c u r i t y 2 9 3 4 7 0 3 0 服 务 创 建 错 误 S y s t e m 2 9 4 4 7 0 4 0 I P S E C 服 务 服 务 的 启 动 类 型 已 从 禁 用 更 改 为 自 动 启 动 S y s t e m 2 9 4 9 7 0 4 5 服 务 创 建 S y s t e m 登 录 类 型   I D 成 功 / 失 败 登 录 事 件 提 供 的 有 用 信 息 之 一 是 用 户 / 进 程 尝 试 登 录 （ 登 录 类 型 ） ， 但   W i n d o w s   将 此 信 息 显 示 为 数 字 ， 下 面 是 数 字 和 对 应 的 说 明 ： 登 录 类 型 登 录 类 型 登 录 类 型 登 录 类 型 描 述 描 述 2 I n t e r a c t i v e 用 户 登 录 到 本 机 3 N e t w o r k 用 户 或 计 算 手 机 从 网 络 登 录 到 本 机 ， 如 果 网 络 共 享 ， 或 使 用   n e t   u s e   访 问 网 络 共 享 ， n e t   v i e w   查 看 网 络 共 享 4 B a t c h 批 处 理 登 录 类 型 ， 无 需 用 户 干 预 5 S e r v i c e 服 务 控 制 管 理 器 登 录 7 U n l o c k 用 户 解 锁 主 机 8 N e t w o r k C l e a r t e x t 用 户 从 网 络 登 录 到 此 计 算 机 ， 用 户 密 码 用 非 哈 希 的 形 式 传 递 9 N e w C r e d e n t i a l s 进 程 或 线 程 克 隆 了 其 当 前 令 牌 ， 但 为 出 站 连 接 指 定 了 新 凭 据
1 0 R e m o t e l n t e r a c t i v e 使 用 终 端 服 务 或 远 程 桌 面 连 接 登 录 1 1 C a c h e d l n t e r a c t i v e 用 户 使 用 本 地 存 储 在 计 算 机 上 的 凭 据 登 录 到 计 算 机 （ 域 控 制 器 可 能 无 法 验 证 凭 据 ） ， 如 主 机 不 能 连 接 域 控 ， 以 前 使 用 域 账 户 登 录 过 这 台 主 机 ， 再 登 录 就 会 产 生 这 样 日 志 1 2 C a c h e d R e m o t e l n t e r a c t i v e 与   R e m o t e l n t e r a c t i v e   相 同 ， 内 部 用 于 审 计 目 的 1 3 C a c h e d U n l o c k 登 录 尝 试 解 锁 登 录 类 型 登 录 类 型 登 录 类 型 登 录 类 型 描 述 描 述 账 户 类 型 应 用 程 序 和 服 务 日 志 应 用 程 序 和 服 务 日 志 应 用 程 序 和 服 务 日 志 是 一 种 新 类 别 的 事 件 日 志 。 这 些 日 志 存 储 来 自 单 个 应 用 程 序 或 组 件 的 事 件 ， 而 非 可 能 影 响 整 个 系 统 的 事 件 。 查 看   P o w e r S h e l l   的 日 志 M i c r o s o f t - > W i n d o w s - > P o w e r S h e l l - > O P t i o n s 2 . 1 . 2   远 程 登 录 事 件 远 程 登 录 事 件 攻 击 者 可 能 造 成 的 远 程 登 录 事 件 R D P 攻 击 者 使 用   R D P   远 程 登 录 受 害 者 计 算 机 ， 源 主 机 和 目 的 主 机 都 会 生 成 相 应 事 件 。 重 要 的 事 件   I D （ 安 全 日 志 ， S e c u r i t y . e v t x ） 用 户 账 户 计 算 机 账 户 ： 此 帐 户 类 型 表 示 每 个 主 机 。 此 帐 户 类 型 的 名 称 以 字 符 “ $ ” 结 尾 。 例 如 ， “ D E S K T O P - S H C T J 7 L   $ ” 是 计 算 机 帐 户 的 名 称 。 服 务 账 户 ： 每 个 服 务 帐 户 都 创 建 为 特 定 服 务 的 所 有 者 。 例 如 ， I U S R 是 I I S 的 所 有 者 ， 而 k r b t g t 是 作 为 密 钥 分 发 中 心 一 部 分 的 服 务 的 所 有 者 。 4 6 2 4 ： 账 户 成 功 登 录 4 6 4 8 ： 使 用 明 文 凭 证 尝 试 登 录 4 7 7 8 ： 重 新 连 接 到 一 台   W i n d o w s   主 机 的 会 话
远 程 连 接 日 志 （ 应 用 程 序 和 服 务 日 志 - > M i c r o s o f t - > W i n d o w s - > - T e r m i n a l S e r v i c e s - > R e m o t e C o n n e c t i o n M a n a g e r - > O p e r a t i o n a l ） ， 重 要 事 件   I D   和 含 义 ： 远 程 连 接 日 志 关 注   R e m o t e I n t e r a c t i v e （ 1 0 ）   和 C a c h e d R e m o t e I n t e r a c t i v e （ 1 2 ） 表 明 使 用 了   R D P   ， 因 为 这 些 登 录 类 型 专 用 于 R D P 使 用 。 计 划 任 务 和 计 划 任 务 和   A T 关 注 的 事 件   I D 计 划 任 务 事 件   M i c r o s o f t - W i n d o w s - T a s k S c h e d u l e r / O p e r a t i o n a l . e v t x ， 计 划 任 务   I D   含 义 ： 4 7 7 9 ： 断 开 到 一 台   W i n d o w s   主 机 的 会 话 1 1 4 9 ： 用 户 认 证 成 功 2 1 ： 远 程 桌 面 服 务 ： 会 话 登 录 成 功 2 4 ： 远 程 桌 面 服 务 ： 会 话 已 断 开 连 接 2 5 ： 远 程 桌 面 服 务 ： 会 话 重 新 连 接 成 功 4 6 2 4 ： 账 户 成 功 登 录 1 0 0 ： 任 务 已 开 始 1 0 2 ： 任 务 完 成 1 0 6 ： 已 注 册 任 务 （ 关 注 点 ） 1 0 7 ： 在 调 度 程 序 上 触 发 任 务 1 1 0 ： 用 户 触 发 的 任 务 1 2 9 ： 创 建 任 务 流 程 （ 推 出 ） 1 4 0 ： 任 务 已 更 新 1 4 1 ： 任 务 已 删 除 2 0 0 ： 运 行 计 划 任 务 3 2 5 ： 启 动 请 求 排 队
统 一 后 台 进 程 管 理 器 （ U B P M ） P S E x e c P S E x e c 是 系 统 管 理 员 的 远 程 命 令 执 行 工 具 ， 包 含 在 “ S y s i n t e r n a l s   S u i t e ” 工 具 中 ， 但 它 通 常 也 用 于 针 对 性 攻 击 的 横 向 移 动 。 P s E x e c 的 典 型 行 为 P S E x e c 选 项 的 重 要 选 项 ： 3 2 5 ： 启 动 请 求 排 队 服 务 控 制 管 理 器   -   管 理   W i n d o w s   服 务 任 务 计 划 程 序   -   管 理   W i n d o w s   任 务 W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n   -   管 理   W M I   供 应 商 D C O M   S e r v e r   P r o c e s s   L a u n c h e r   -   管 理 进 程 外   C O M   应 用 程 序 在 具 有 网 络 登 录 （ 类 型 3 ） 的 远 程 计 算 机 上 将   P s E x e c   服 务 执 行 文 件 （ 默 认 值 ： P S E X E S V C . e x e ） 复 制 到 ％ S y s t e m R o o t ％ 。 如 果 使 用 - c 选 项 ， 则 通 过   $ A d m i n   共 享 将 文 件 复 制 到   ％ S y s t e m R o o t ％   执 行 命 令 。 注 册 服 务 （ 默 认 值 ： P S E X E S V C ） ， 并 启 动 服 务 以 在 远 程 计 算 机 上 执 行 该 命 令 。 停 止 服 务 （ 默 认 值 ： P S E X E S V C ） ， 并 在 执 行 后 删 除 远 程 计 算 机 上 的 服 务 。 - r 更 改 复 制 的 文 件 名 和 远 程 计 算 机 的 服 务 名 称 （ 默 认 值 ： ％ S y s t e m R o o t ％   P S E X E S V C . e x e 和 P S E X E S V C ） - s 由 S Y S T E M 帐 户 执 行 。 - C 将 程 序 复 制 到 远 程 计 算 机 被 复 制 到 A d m i n $ （ ％ S y s t e m R o o t ％ ） - u
可 以 从 中 查 找 事 件   I D   7 0 4 5   发 现   P S E x e c ， 相 关 的 事 件   I D P s E x e c 在 执 行 命 令 时 在 远 程 主 机 上 创 建 服 务 ， 默 认 服 务 名 称 为 ， 配 合 检 测 系 统   7 0 4 5   事 件 可 以 确 定 。 如 果 使 用 参 数 更 改 了 默 认 的 服 务 名 称 ， 通 过 以 下 特 征 可 以 检 测   P S E x e c   的 执 行 ： 2 . 1 . 3   G U I   的 日 志 工 具 介 绍 的 日 志 工 具 介 绍 W i d n o w s   自 带 事 件 管 理 器 就 是 很 不 错 的 日 志 工 具 ， 其 他 可 以 了 解 下 E v e n t   L o g   E x p l o r e r （ h t t p s : / / e v e n t l o g x p . c o m / ） 使 用 特 定 凭 据 登 录 到 远 程 计 算 机 生 成 登 录 类 型 2 和 登 录 类 型 3   的 事 件 S y s t e m . e v t x S e c u r i t y . e v t x 4 6 2 4 ： 帐 户 已 成 功 登 录 S s y s t e m . e v t x 7 0 4 5 ： 系 统 中 安 装 了 服 务 P S E X E S V C - r P S E x e c 服 务 执 行 文 件 （ 默 认 值 ： P S E X E S V C . e x e ） 被 复 制 到 远 程 计 算 机 上 的 “ ％ S y s t e m R o o t ％ ” 目 录 中 服 务 名 称 与 没 有 “ . e x e ” 扩 展 名 的 执 行 名 称 相 同 服 务 以 “ 用 户 模 式 ” 执 行 ， 而 不 是 “ 内 核 模 式 ” “ L o c a l S y s t e m ” 帐 户 用 于 服 务 帐 户 实 际 帐 户 用 于 执 行 服 务 执 行 文 件 ， 而 不 是 “ S Y S T E M ”
可 以 将 目 标   I P   的 所 有 日 志 文 件 复 制 出 来 ， 然 后 在 其 他 电 脑 上 使 用   E v e n t   L o g   E x p l o r e r   进 行 分 析 。 其 他 一 些 工 具 ： 2 . 2 . 4   P o w e r S h e l l   日 志 操 作 日 志 操 作 使 用 G e t - W i n E v e n t   @ { l o g n a m e = ' a p p l i c a t i o n ' , ' s y s t e m ' }   - M a x E v e n t s   1 一 些 常 见 日 志 操 作 M i c r o s o f t   M e s s a g e   A n a l y z e r E T L   V i e w e r L o g   P a r s e r 使 用 示 例 ： h t t p s : / / m l i c h t e n b e r g . w o r d p r e s s . c o m / 2 0 1 1 / 0 2 / 0 3 / l o g - p a r s e r - r o c k s - m o r e - t h a n - 5 0 - e x a m p l e s / G e t - W i n E v e n t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理