搜索

[1052] 2021-04-13_Windows手工入侵排查思路

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2021-04-13_Windows手工入侵排查思路 W i n d o w s 手 工 入 侵 排 查 思 路 原 创   B y p a s s   B y p a s s   2 0 2 1 - 0 4 - 1 3 W i n d o w s 系 统 被 入 侵 后 ， 通 常 会 导 致 系 统 资 源 占 用 过 高 、 异 常 端 口 和 进 程 、 可 疑 的 账 号 或 文 件 等 ， 给 业 务 系 统 带 来 不 稳 定 等 诸 多 问 题 。 一 些 病 毒 木 马 会 随 着 计 算 机 启 动 而 启 动 并 获 取 一 定 的 控 制 权 ， 启 动 方 式 多 种 多 样 ， 比 如 注 册 表 、 服 务 、 计 划 任 务 等 ， 这 些 都 是 需 要 重 点 排 查 的 地 方 。 另 外 ， 需 要 重 点 关 注 服 务 器 日 志 信 息 ， 并 从 里 面 挖 掘 有 价 值 的 信 息 。 基 于 以 上 ， 我 们 总 结 了 W i n d o w s 服 务 器 入 侵 排 查 的 思 路 ， 从 W i n d o w s 入 侵 现 象 、 启 动 方 式 、 安 全 日 志 等 方 面 ， 对 服 务 器 最 容 易 出 现 安 全 问 题 的 地 方 进 行 入 手 排 查 。 0 1 、 检 查 系 统 账 号 、 检 查 系 统 账 号 （ 1 ） 检 查 远 程 管 理 端 口 是 否 对 公 网 开 放 ， 服 务 器 是 否 存 在 弱 口 令 。 检 查 方 法 ： 检 查 防 火 墙 映 射 规 则 ， 获 取 服 务 器 账 号 登 录 ， 也 可 据 实 际 情 况 咨 询 相 关 管 理 员 。 （ 2 ） 查 看 服 务 器 是 否 存 在 可 疑 账 号 、 新 增 账 号 。 检 查 方 法 ： 打 开   c m d   窗 口 ， 输 入 命 令 ， 查 看 是 否 有 新 增 / 可 疑 的 账 号 ， 如 有 管 理 员 群 组 的 （ A d m i n i s t r a t o r s ） 里 的 新 增 账 户 ， 根 据 实 际 应 用 情 况 ， 保 留 或 删 除 。 （ 3 ） 查 看 服 务 器 是 否 存 在 隐 藏 账 号 、 克 隆 账 号 。 检 查 隐 藏 账 号 方 法 ： C M D 命 令 行 使 用 ” n e t   u s e r ” , 看 不 到 ” t e s t $ ” 这 个 账 号 ， 但 在 控 制 面 板 和 本 地 用 户 和 组 是 可 以 显 示 此 用 户 的 。 检 查 克 隆 账 号 方 法 ： 打 开 注 册 表   ， 查 看 管 理 员 对 应 键 值 。 使 用 D 盾 _ w e b 查 杀 工 具 ， 集 成 了 对 克 隆 账 号 检 测 的 功 能 。 （ 4 ） 结 合 W i n d o w s 安 全 日 志 ， 查 看 管 理 员 登 录 时 间 、 用 户 名 是 否 存 在 异 常 。 检 查 方 法 ： W i n + R 打 开 运 行 ， 输 入 “ e v e n t v w r . m s c ” ， 回 车 运 行 ， 打 开 “ 事 件 查 看 器 ” 。 或 者 我 们 可 以 导 出 W i n d o w s 日 志 — 安 全 ， 利 用 L o g   P a r s e r 进 行 分 析 。 0 2 、 检 查 异 常 端 口 、 检 查 异 常 端 口 （ 1 ） 检 查 端 口 连 接 情 况 检 查 方 法 ： a 、 n e t s t a t   - a n o   查 看 目 前 的 网 络 连 接 ， 定 位 可 疑 的 E S T A B L I S H E D b 、 根 据 n e t s t a t   定 位 出 的 p i d ， 再 通 过 t a s k l i s t 命 令 进 行 进 程 定 位   t a s k l i s t   |   f i n d s t r   “ P I D ” （ 2 ） 检 查 可 疑 的 网 络 连 接 检 查 方 法 检 查 是 否 存 在 可 疑 的 网 络 连 接 ， 如 发 现 异 常 ， 可 使 用 W i r e s h a r k 网 络 抓 包 辅 助 分 析 。 l u s r m g r . m s c
0 3 、 检 查 异 常 进 程 、 检 查 异 常 进 程 （ 1 ） 检 查 是 否 存 在 可 疑 的 进 程 检 查 方 法 ： a 、 开 始 — 运 行 — 输 入 m s i n f o 3 2 ， 依 次 点 击 “ 软 件 环 境 → 正 在 运 行 任 务 ” 就 可 以 查 看 到 进 程 的 详 细 信 息 ， 比 如 进 程 路 径 、 进 程 I D 、 文 件 创 建 日 期 、 启 动 时 间 等 。 b 、 打 开 D 盾 _ w e b 查 杀 工 具 ， 进 程 查 看 ， 关 注 没 有 签 名 信 息 的 进 程 。 c 、 通 过 微 软 官 方 提 供 的   P r o c e s s   E x p l o r e r   等 工 具 进 行 排 查   。 d 、 查 看 可 疑 的 进 程 及 其 子 进 程 。 可 以 通 过 观 察 以 下 内 容 ： （ 2 ） 如 何 找 到 进 程 对 应 的 程 序 位 置                 任 务 管 理 器 — 选 择 对 应 进 程 — 右 键 打 开 文 件 位 置                 运 行 输 入   w m i c ， c m d 界 面   输 入   p r o c e s s 0 4 、 检 查 启 动 项 、 检 查 启 动 项 （ 1 ） 检 查 服 务 器 是 否 有 异 常 的 启 动 项 。 检 查 方 法 ： a 、 登 录 服 务 器 ， 单 击 【 开 始 】 > 【 所 有 程 序 】 > 【 启 动 】 ， 默 认 情 况 下 此 目 录 在 是 一 个 空 目 录 ， 确 认 是 否 有 非 业 务 程 序 在 该 目 录 下 。 b 、 单 击 开 始 菜 单   > 【 运 行 】 ， 输 入   m s c o n f i g ， 查 看 是 否 存 在 命 名 异 常 的 启 动 项 目 ， 是 则 取 消 勾 选 命 名 异 常 的 启 动 项 目 ， 并 到 命 令 中 显 示 的 路 径 删 除 文 件 。 c 、 单 击 【 开 始 】 > 【 运 行 】 ， 输 入   r e g e d i t ， 打 开 注 册 表 ， 查 看 开 机 启 动 项 是 否 正 常 ， 特 别 注 意 如 下 三 个 注 册 表 项 ： 检 查 右 侧 是 否 有 启 动 异 常 的 项 目 ， 如 有 请 删 除 ， 并 建 议 安 装 杀 毒 软 件 进 行 病 毒 查 杀 ， 清 除 残 留 病 毒 或 木 马 。 d 、 利 用 安 全 软 件 查 看 启 动 项 、 开 机 时 间 管 理 等 。 e 、 组 策 略 ， 运 行 g p e d i t . m s c 。 0 5 、 检 查 计 划 任 务 、 检 查 计 划 任 务 （ 1 ） 检 查 计 划 任 务 里 是 否 有 可 疑 的 脚 本 执 行 检 查 方 法 ： a 、 单 击 【 开 始 】 > 【 设 置 】 > 【 控 制 面 板 】 > 【 任 务 计 划 】 ， 查 看 计 划 任 务 属 性 ， 便 可 以 发 现 木 马 文 件 的 路 径 。 b 、 单 击 【 开 始 】 > 【 运 行 】 ； 输 入   c m d ， 然 后 输 入 a t ， 检 查 计 算 机 与 网 络 上 的 其 它 计 算 机 之 间 的 会 话 或 计 划 任 务 ， 如 有 ， 则 确 认 是 否 为 正 常 连 接 。 0 6 、 检 查 服 务 、 检 查 服 务 （ 1 ） 检 查 系 统 服 务 名 称 、 描 述 和 路 径 ， 确 认 是 否 异 常 检 查 方 法 ： 没 有 签 名 验 证 信 息 的 进 程 没 有 描 述 信 息 的 进 程 进 程 的 属 主 进 程 的 路 径 是 否 合 法             C P U 或 内 存 资 源 占 用 长 时 间 过 高 的 进 程 H K E Y _ C U R R E N T _ U S E R s o f t w a r e m i c o r s o f t w i n d o w s c u r r e n t v e r s i o n r u n   H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n   H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n o n c e
单 击 【 开 始 】 > 【 运 行 】 ， 输 入 s e r v i c e s . m s c ， 注 意 服 务 状 态 和 启 动 类 型 ， 检 查 是 否 有 异 常 服 务 。 0 7 、 检 查 可 疑 文 件 、 检 查 可 疑 文 件 （ 1 ） 检 查 新 建 文 件 、 最 近 访 问 文 件 和 相 关 下 载 目 录 等 检 查 方 法 ： a 、   查 看 用 户 目 录 ， 新 建 账 号 会 在 这 个 目 录 生 成 一 个 用 户 目 录 ， 查 看 是 否 有 新 建 用 户 目 录 。 W i n d o w   2 0 0 3   C : D o c u m e n t s   a n d   S e t t i n g s W i n d o w   2 0 0 8 R 2   C : U s e r s b 、 单 击 【 开 始 】 > 【 运 行 】 ， 输 入 % U s e r P r o f i l e % R e c e n t ， 分 析 最 近 打 开 分 析 可 疑 文 件 。 c 、 在 服 务 器 各 个 目 录 ， 可 根 据 文 件 夹 内 文 件 列 表 时 间 进 行 排 序 ， 查 找 可 疑 文 件 。 d 、 回 收 站 、 浏 览 器 下 载 目 录 、 浏 览 器 历 史 记 录 e 、 修 改 时 间 在 创 建 时 间 之 前 的 为 可 疑 文 件 （ 2 ） 发 现 一 个 W E B S H E L L 或 远 控 木 马 的 创 建 时 间 ， 如 何 找 出 同 一 时 间 范 围 内 创 建 的 文 件 ？ 检 查 方 法 ： a 、 利 用   R e g i s t r y   W o r k s h o p   注 册 表 编 辑 器 的 搜 索 功 能 ， 可 以 找 到 最 后 写 入 时 间 区 间 的 文 件 。 b 、 利 用 计 算 机 自 带 文 件 搜 索 功 能 ， 指 定 修 改 时 间 进 行 搜 索 。 0 8 、 检 查 系 统 日 志 、 检 查 系 统 日 志 （ 1 ） 检 查 系 统 安 全 日 志 一 般 来 说 ， 可 以 通 过 检 查 W i n d o w s 安 全 日 志 来 获 悉 账 号 登 录 情 况 ， 比 如 成 功 / 失 败 的 次 数 。 （ 2 ） 历 史 命 令 记 录 高 版 本 P o w e r s h e l l 会 记 录 P o w e r S h e l l 的 命 令 ， 所 有 的 P o w e r S h e l l 命 令 将 会 保 存 在 固 定 位 置 ： 查 看 P o w e r S h e l l 历 史 记 录 ： L o g P a r s e r . e x e     - i : E V T   – o : D A T A G R I D   " S E L E C T     E X T R A C T _ T O K E N ( S t r i n g s , 1 0 , ' | ' )     a s   E v e n t T y p e ,   E X T R A C T _ T O K E N ( S t r i n g s , 5 , ' | ' )     a s   u s e r ,   c o u n t ( E X T R A C T _ T O K E N ( S t r i n g s , 1 9 , ' | ' ) )   a s   T i m e s , E X T R A C T _ T O K E N ( S t r i n g s , % a p p d a t a % M i c r o s o f t W i n d o w s P o w e r S h e l l P S R e a d l i n e C o n s o l e H o s t _ h i s t o r y . t x t
默 认 P o w e r s h e l l   v 5 支 持 , P o w e r s h e l l   v 3 和 P o w e r s h e l l   v 4 ， 需 要 安 装 G e t - P S R e a d l i n e O p t i o n 后 才 可 以 使 用 。 G e t - C o n t e n t   ( G e t - P S R e a d l i n e O p t i o n ) . H i s t o r y S a v e P a t h
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理