搜索

[18815] 2020-08-19_应急响应手册-Windows排查流程

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-08-19_应急响应手册-Windows排查流程 应 急 响 应 手 册 - W i n d o w s 排 查 流 程 原 创   花 十 一 一   h u a s e c   2 0 2 0 - 0 8 - 1 9 收 录 于 话 题   # 应 急 响 应   , 2 6 个 溯 源 系 列 文 章 已 经 写 完 ， 其 他 姿 势 可 以 私 下 交 流 。 今 天 接 之 前 目 录 内 容 继 续 。 溯 源 系 列 文 章 已 经 写 完 ， 其 他 姿 势 可 以 私 下 交 流 。 今 天 接 之 前 目 录 内 容 继 续 。 应 急 响 应 手 册 - 溯 源 篇 （ 一 ） 应 急 响 应 手 册 - 溯 源 篇 （ 二 ） 应 急 响 应 手 册 - 溯 源 篇 （ 三 ） 应 急 响 应 手 册 - 溯 源 篇 （ 四 ） 0 1 — 系 统 用 户 排 查 点 ： ( 1 ) 当 前 登 录 账 号 的 登 录 时 间 ( 2 ) 克 隆 账 号 、 隐 藏 账 号 ( 3 ) G u e s t 账 号 查 看 当 前 已 登 录 账 户   q u e r y   u s e r 如 果 该 台 主 机 被 远 程 登 录 ， 执 行 q u e r y   u s e r 可 以 看 到 会 话 名 字 段 包 含 r d p 字 符                   查 看 用 户 目 录 是 否 存 在 新 建 用 户 目 录   C : U s e r s
查 看 是 否 存 在 可 疑 账 户 、 新 增 账 号 （ 注 意 G u e s t 账 号 是 否 启 用 ） , W i n + R 输 入 l u s r m g r . m s c                                 查 看 隐 藏 账 号 、 克 隆 账 号 , W i n + R 输 入 r e g e d i t 打 开 注 册 表 查 看 H K L M S A M S A M D o m a i n s A c c o u n t U s e r s 下 的 是 否 包 含 异 常 键 值 对 ， 例 如 下 图 管 理 员 帐 户 A d m i n i s t r a t o r 对 应 的 注 册 表 键 值 为 H K L M   S A M S A M D o m a i n s A c c o u n t U s e r s 0 0 0 0 0 1 F 4 工 具 ： P C   H u n t e r D 盾
0 2 — 进 程 排 查 点 ： ( 1 ) 没 有 签 名 验 证 信 息 的 进 程 ( 2 ) 没 有 描 述 信 息 的 进 程 ( 3 ) 路 径 不 合 法 的 进 程 ( 4 ) C P U 或 者 内 存 长 时 间 过 高 占 用 的 进 程 ( 5 ) 存 在 异 常 网 络 连 接 的 进 程 ( 6 ) 属 主 异 常 的 进 程 W i n + R   输 入   m s i n f o 3 2 ， 查 看 软 件 环 境 - > 正 在 进 行 的 任 务 W i n + R 输 入 t a s k m g r ， 打 开 任 务 管 理 器 ， 可 以 通 过 选 择 列 展 示 想 要 查 看 的 内 容 。
查 看 进 程 的 命 令 行 查 看 所 有 程 序 ： w m i c   p r o c e s s   g e t c a p t i o n , c o m m a n d l i n e   / v a l u e 如 果 想 查 询 某 一 个 进 程 的 命 令 行 参 数 ， 使 用 下 列 方 式 ： w m i c   p r o c e s s   w h e r e c a p t i o n = " s v c h o s t . e x e "   g e t   c a p t i o n , c o m m a n d l i n e   / v a l u e 这 样 就 可 以 得 到 进 程 的 可 执 行 文 件 位 置 等 信 息 。 查 看 进 程 加 载 d l l 文 件 t a s k l i s t   / m t a s k l i s t   / m     n t d l l . d l l
工 具 : P C   H u n t e r P r o c e s s   H a c k e r 0 3 — 启 动 项 注 册 表 ： 注 册 表 ： 单 击 【 开 始 】 - > 【 运 行 】 ， 输 入 r e g e d i t
H K L M S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n H K L M S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e H K L M S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n P o l i c i e s E x p l o r e r R u n H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n O n c e H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n P o l i c i e s E x p l o r e r R u n 系 统 配 置 ： 系 统 配 置 ： 单 击 【 开 始 】 - > 【 运 行 】 ， 输 入 m s c o n f i g ， 查 看 是 否 存 在 命 名 异 常 的 启 动 项 目 ， 是 则 取 消 勾 选 命 名 异 常 的 启 动 项 目 ， 并 到 命 令 中 显 示 的 路 径 删 除 文 件 本 地 组 策 略 ： 本 地 组 策 略 ： 单 击 【 开 始 】 - > 【 运 行 】 ， 输 入 g p e d i t . m s c ， 选 择 计 算 机 配 置 - > W i n d o w s 设 置 - > 脚 本 （ 启 动 、 关 机 ） 开 始 菜 单 开 始 菜 单 : C : D o c u m e n t s   a n d S e t t i n g s $ { u s e r } 开 始 程 序 启 动 0 4 — 计 划 任 务 ( 1 )   任 务 计 划 程 序 单 击 【 开 始 】 - > 【 运 行 】 ， 输 入   t a s k s c h d . m s c
( 2 )   a t 命 令 命 令 W i n 7 之 前 可 以 使 用 a t 添 加 任 务   a t     2 3 : 0 0   n o t e p a d . e x e 当 前 任 务 列 表   a t 查 看 任 务 详 细 信 息   a t   i d 删 除 任 务     a t   i d   / d e l   / y e s W i n 1 0 上 不 支 持 a t 可 以 在 任 务 计 划 程 序 中 看 到 计 划 任 务 执 行 日 志
( 3 ) s c h t a s k s 参 数 列 表 :         / C r e a t e                   创 建 新 计 划 任 务 。         / D e l e t e                   删 除 计 划 任 务 。         / Q u e r y                     显 示 所 有 计 划 任 务 。         / C h a n g e                   更 改 计 划 任 务 属 性 。         / R u n                         按 需 运 行 计 划 任 务 。         / E n d                         中 止 当 前 正 在 运 行 的 计 划 任 务 。         / S h o w S i d                 显 示 与 计 划 的 任 务 名 称 相 应 的 安 全 标 识 符 。 / ?                             显 示 此 帮 助 消 息 。 / T N   计 划 任 务 名 称 / S C   执 行 周 期 M I N U T E :     1   到   1 4 3 9   分 钟 。 H O U R L Y :     1   -   2 3   小 时 。 D A I L Y :       1   到   3 6 5   天 。 W E E K L Y :     1   到   5 2   周 。 / S T     指 定 运 行 任 务 的 开 始 时 间 / T R     指 定 运 行 程 序 的 路 径 创 建 任 务 S c h t a s k s   / C r e a t e   / T N T e s t     / S C   H O U R L Y   / S T   0 1 : 0 2   / T R n o t e p a d . e x e 删 除 任 务 S c h t a s k s   / D e l e t e   / T N T e s t 0 5 — 服 务 单 击 【 开 始 】 - 【 运 行 】 ， 输 入 S e r v i c e s . m s c
0 6 — 驱 动 注 册 表 路 径   H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t s e r v i c e s ， 系 统 文 件 路 径 C : W i n d o w s S y s t e m 3 2 d r i v e r s s t a r t 字 段 这 些 数 字 分 别 表 示 服 务 启 动 的 类 型 0   引 导 1   系 统 2   自 动 3   手 动 4   禁 用 0 7 — 网 络 连 接 执 行 命 令   n e t s t a t   - a n o
工 具 ： T c p v i e w 0 8 — 防 火 墙 策 略 排 查 点 ： 防 火 墙 放 行 端 口 和 应 用 程 序 。 查 看 防 火 墙 策 略 n e t s h   f i r e w a l l   s h o w c o n f i g 也 可 以 到 控 制 面 板 - > 系 统 和 安 全 - > W i n d o w s   D e f e n d e r   防 火 墙   - >   高 级 设 置 查 看 入 站 和 出 站 规 则
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理