设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [18222] 2020-12-03_干货攻击溯源的排查范围
返回列表 发新帖
查看: 0|回复: 0

[18222] 2020-12-03_干货攻击溯源的排查范围

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-12-03_干货攻击溯源的排查范围 干 货 | 攻 击 溯 源 的 排 查 范 围 L e t i c i a ' s   B l o g   H A C K 之 道   2 0 2 0 - 1 2 - 0 3 前 言 前 言 在 系 统 被 入 侵 后 ， 需 要 迅 速 梳 理 出 黑 客 的 攻 击 路 径 ， 本 文 总 结 w i n d o w s 系 统 攻 击 溯 源 过 程 中 必 要 的 排 查 范 围 。 排 查 项 目 排 查 项 目 用 户 用 户 查 看 当 前 登 录 用 户 查 看 当 前 登 录 用 户 1 q u e r y   u s e r 查 看 系 统 中 所 有 用 户 查 看 系 统 中 所 有 用 户 1 2 3 1 .   n e t   u s e r 2 .   开 始 - 运 行 - l u s r m g r . m s c 3 . 查 看 C : U s e r s 目 录 排 查 是 否 新 建 用 户 目 录 ， 如 果 存 在 则 排 查 对 应 用 户 的 d o w n l o a d 和 d e s k t o p 目 录 是 否 有 可 疑 文 件 查 看 是 否 存 在 隐 藏 账 号 ， 克 隆 账 号 查 看 是 否 存 在 隐 藏 账 号 ， 克 隆 账 号 1 2 开 始 - 运 行 - r e g e d i t 查 看 H K E Y _ L O C A L _ M A C H I N E S A M S A M D o m a i n s A c c o u n t U s e r s 中 是 否 有 异 常 启 动 项 启 动 项 注 册 表 查 看 启 动 项 1 2 3 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n 命 令 行 查 看 启 动 项
1 w m i c   s t a r t u p   l i s t   f u l l 组 策 略 中 查 看 启 动 1 运 行 - g p e d i t . m s c R e c e n t 目 录 目 录 此 目 录 可 以 看 到 程 序 或 文 件 最 后 被 打 开 和 使 用 的 日 期 时 间 。 1 C : U s e r s A d m i n i s t r a t o r R e c e n t w i n d o w s 日 志 日 志 安 全 日 志 安 全 日 志 计 算 机 - 管 理 - 事 件 查 看 器 - w i n d o w s 日 志 - 安 全 ( 或 e v e n t v w r . m s c ) 根 据 时 间 排 查 安 全 日 志 里 的 登 录 事 件 ， 用 户 创 建 等 事 件 情 况 着 重 寻 找 登 录 事 件 ( I D 4 6 2 4 ) 且 登 录 类 型 为 3 和 1 0 等 远 程 登 录 方 式 w i n d o w s 安 全 日 志 文 件 ： C : W i n d o w s S y s t e m 3 2 w i n e v t L o g s S e c u r i t y . e v t x   查 看 其 大 小 是 否 为 2 0 M 左 右 ， 若 远 远 小 于 2 0 M 则 有 可 能 被 清 理 过 系 统 日 志 系 统 日 志 计 算 机 - 管 理 - 事 件 查 看 器 - w i n d o w s 日 志 - 系 统 查 看 恶 意 进 程 的 运 行 状 态 时 间 等 排 查 可 疑 进 程 排 查 可 疑 进 程 查 看 可 疑 网 络 连 接 1 n e t s t a t   - b   - n 根 据 网 络 连 接 寻 找 p i d
1 n e t s t a t   - a n o   |   f i n d s t r   x x x 根 据 p i d 寻 找 进 程 1 t a s k l i s t   |   f i n d s t r   x x x 杀 死 可 疑 进 程 1 t a s k k i l l   / T   / F   / P I D   x x x x 排 查 计 划 任 务 排 查 计 划 任 务 1 2 3 s c h t a s k s   / q u e r y   / f o   t a b l e   / v 运 行 - t a s k s c h d . m s c 排 查 系 统 服 务 排 查 系 统 服 务 1 运 行 - s e r v i c e . m s c 工 具 使 用 工 具 使 用 P E C m d 使 用 P E C m d 导 出 最 近 活 动 项 目 L a s t A c t i v i t y V i e w 使 用 L a s t A c t i v i t y V i e w 图 形 化 工 具 查 看 最 近 活 动 项 目 作 者 ： L e t i c i a ' s   B l o g ， 文 章 来 源 ： h t t p : / / n e x t . u u z d a i s u k i . c o m 关 注 公 众 号 关 注 公 众 号 : H A C K 之 道 之 道
如 文 章 对 你 有 帮 助 ， 请 支 持 点 下 “ 赞 ” “ 在 看 ” 阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:33 , Processed in 0.180837 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表