搜索

[9155] 2015-07-22_没有外部工具，如何快速发现Windows中毒了

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2015-07-22_没有外部工具，如何快速发现Windows中毒了 没 有 外 部 工 具 ， 如 何 快 速 发 现 W i n d o w s 中 毒 了 F r e e B u f   2 0 1 5 - 0 7 - 2 2 微 信 号 微 信 号 : f r e e b u f 从 事 应 急 响 应 工 作 几 年 之 后 ， 我 认 为 总 结 一 份 快 速 确 定 计 算 机 是 否 被 感 染 木 马 和 病 毒 的 “ 方 法 论 ” 是 十 分 有 用 的 。 这 显 然 不 是 那 么 简 单 的 ， 可 我 却 发 现 感 染 几 乎 存 在 于 所 有 不 复 杂 的 攻 击 中 ， 如 果 你 执 行 了 以 下 检 测 ， 便 可 发 现 存 在 感 染 并 快 速 杀 掉 它 。 所 有 这 些 事 情 都 可 以 由 一 个 建 立 于 W i n d o w s 命 令 行 功 能 的 管 理 员 命 令 提 示 符 完 成 。 1 、 、 W M I C   启 动 项 （ 启 动 项 （ W M I C   S t a r t u p   I t e m s ） ） W i n d o w s 已 经 有 一 个 非 常 强 大 的 工 具 — — W M I C ， 在 以 下 几 种 方 式 中 较 容 易 为 你 的 调 查 建 立 启 动 项 。 只 需 打 开 一 个 命 令 提 示 符 ， 然 后 输 入 【 w m i c   s t a r t u p   l i s t   f u l l 】 。 这 是 一 个 真 实 的 例 子 ， 猜 一 下 哪 个 项 目 不 属 于 其 中 ， 会 是 本 地 临 时 文 件 夹 吗 ？ 是 的 。 如 果 你 知 道 应 该 在 列 表 中 的 东 西 以 及 一 般 正 常 运 行 的 位 置 ， 你 就 能 在 这 里 暂 停 ， 通 常 这 都 非 常 简 单 。 找 到 程 序 ， 然 后 在 m a l w r . c o m 或 者 V i r u s T o t a l 上 查 找 它 的 散 列 ， 看 看 它 有 没 有 感 染 了 其 他 什 么 ， 然 后 删 除 。
2 、 、 D N S   缓 存 （ 缓 存 （ D N S   C a c h e ） ） 打 开 命 令 提 示 符 ， 并 输 入 【 i p c o n f i g / d i s p l a y d n s 】 。 看 看 这 些 待 反 测 的 区 域 ， 有 没 有 任 何 的 异 常 现 场 ？ 在 V i r u s T o t a l 或 者 其 他 地 方 寻 找 他 们 解 析 的 域 名 及 I P ， 看 是 否 有 与 之 相 连 的 样 本 。 如 果 有 ， 那 么 你 肯 定 被 感 染 了 。 这 里 有 一 个 现 成 的 例 子 ： 3 、 、 W M I C   进 程 列 表 （ 进 程 列 表 （ W M I C   P r o c e s s   L i s t ） ） 这 是 W M I C 另 一 个 受 欢 迎 的 项 目 ， 输 入 【 w m i c   p r o c e s s   l i s t   f u l l | m o r e 】 ， 或 者 更 紧 凑 但 是 更 长 的 输 出 【 w m i c   p r o c e s s   g e t d e s c r i p t i o n , p r o c e s s e d , p a r e n t p r o c e s s i d , c o m m a n l i n e / f o r m a t : c s v . 】 。 寻 找 在 奇 怪 地 方 运 行 的 东 西 或 者 恶 意 、 随 机 、 名 称 怪 怪 的 程 序 。
4 、 、 W M I C   服 务 列 表 （ 服 务 列 表 （ W M I C   S e r v i c e   L i s t ） ） 如 果 你 不 清 楚 自 己 在 寻 找 什 么 ， 那 这 个 用 起 来 可 能 比 较 困 难 。 但 是 检 测 方 便 并 且 容 易 通 过 路 径 或 者 e x e 名 称 发 现 恶 意 软 件 。 格 式 与 其 他 的 相 似 ， 或 者 你 也 可 以 得 到 更 具 体 “ g e t ” 版 本 。 输 入 【 w m i c   s e r v i c e   l i s t   f u l l |   m o r e 】 或 者 【 w m i c   s e r v i c e   g e t   n a m e , p r o c e s s i d , s t a r t m o d e , s t a t e , s t a t u s , p a t h n a m e   / f o r m a t : c s v 】 。 这 里 有 个 小 例 子 展 示 了 只 有 服 务 名 称 和 路 径 的 情 况 。 5 、 、 W M I C   工 作 列 表 （ 工 作 列 表 （ W M I C   J o b   L i s t ） ） 这 是 个 看 起 来 最 不 可 能 发 现 任 何 东 西 的 项 目 ， 因 为 绝 大 多 数 恶 意 软 件 都 不 用 j o b s ， 但 是 在 例 如 M P l u g 的 一 些 版 本 中 ， 是 很 容 易 检 测 出 的 。 输 入 【 w m i c   j o b   l i s t   f u l l 】 ， 你 能 够 获 得 一 个 【 没 有 可 用 实 例 】 的 回 执 ， 这 就 意 味 着 没 有 已 安 排 的 项 目 在 执 行 。 6 、 、 N e t s t a t 莫 忘 记 基 础 ， 如 果 I P 是 谷 歌 或 者 s t e a l y o u r b a n k n u m b e r . s u . 【 n e t s t a t   - a b n o 】 的 ， 输 出 可 能 需 要 搜 索 来 查 看 ， 即 使 这 样 可 以 还 是 寻 找 奇 异 的 外 部 站 点 端 口 号 码 ， 如 2 5 、 8 0 8 0 、 6 6 6 7 等 等 。 N e t s t a t 控 制 如 下 ： 控 制 如 下 ： - a   显 示 所 有 连 接 和 监 听 端 口 - b   显 示 参 与 创 建 每 个 连 接 或 者 监 听 端 口 的 可 执 行 文 件 - n   以 数 字 形 式 显 示 地 址 和 端 口 号 码 - o   显 示 拥 有 的 每 个 与 链 接 相 关 的 进 程 I D
7 、 批 处 理 文 件 版 本 、 批 处 理 文 件 版 本 用 一 种 简 单 可 重 复 的 方 式 完 成 这 些 W M I C 东 西 并 生 成 一 份 报 告 ， 怎 么 样 呢 ？ 我 已 经 有 了 。 把 东 西 都 丢 到 一 个 批 处 理 文 件 中 ， 然 后 设 置 一 个 主 机 名 参 数 ， 你 甚 至 能 够 在 全 网 中 使 用 它 — — 获 得 其 他 计 算 机 的 适 当 权 限 ， 方 便 进 行 远 程 评 估 。 这 个 脚 本 可 以 让 你 更 清 楚 的 了 解 这 个 脚 本 可 以 让 你 更 清 楚 的 了 解 H T M L 格 式 的 输 出 ， 其 中 包 括 了 你 从 电 脑 中 获 取 的 信 息 ： 格 式 的 输 出 ， 其 中 包 括 了 你 从 电 脑 中 获 取 的 信 息 ： w m i c   / n o d e : % 1   c o m p u t e r s y s t e m   g e t   m o d e l , n a m e , u s e r n a m e , d o m a i n   / f o r m a t : h t a b l e   >   c : t r i a g e - % 1 . h t m l w m i c   / n o d e : % 1   s t a r t u p   l i s t   f u l l   / f o r m a t : h t a b l e   > >   c : t r i a g e - % 1 . h t m l w m i c   / n o d e : % 1   p r o c e s s   g e t   d e s c r i p t i o n , p r o c e s s i d , p a r e n t p r o c e s s i d , c o m m a n d l i n e   / f o r m a t : h t a b l e   > >   c : t r i a g e - % 1 . h t m l w m i c   / n o d e : % 1   s e r v i c e   g e t   n a m e , p r o c e s s i d , s t a r t m o d e , s t a t e , s t a t u s , p a t h n a m e   / f o r m a t : h t a b l e   > >   c : t r i a g e - % 1 . h t m l w m i c   / n o d e : % 1   j o b   l i s t   f u l l   / f o r m a t : h t a b l e   > >   c : t r i a g e - % 1 . h t m l * 参 考 来 源 ： 9 0 9 r e s e a r c h ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理