搜索

[7593] 2021-05-05_经验分享HVV之windows应急笔记

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2021-05-05_经验分享HVV之windows应急笔记 经 验 分 享   |   H V V 之 w i n d o w s 应 急 笔 记 原 创   C h a l l e n g e r   F 1 2 s e c   2 0 2 1 - 0 5 - 0 5 收 录 于 话 题   # 经 验 分 享   , 8 个 前 言 前 言 “ 申 明 申 明 ： 本 次 测 试 只 作 为 学 习 用 处 ， 请 勿 未 授 权 进 行 渗 透 测 试 ， 切 勿 用 于 其 它 用 途 ！ ： 本 次 测 试 只 作 为 学 习 用 处 ， 请 勿 未 授 权 进 行 渗 透 测 试 ， 切 勿 用 于 其 它 用 途 ！ 本 文 来 自 团 队 成 员 本 文 来 自 团 队 成 员 C h a l l e n g e r 师 傅 。 师 傅 。 ” P a r t   1 “ W i n d o w s 应 急 不 太 可 能 只 手 敲 命 令 吧 ， 快 速 应 急 需 要 运 用 各 种 工 具 才 能 快 速 发 现 问 题 ， 这 里 是 应 急 工 具 包 ： 链 接 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 Y 2 o y r e r R 7 S 5 x 0 h 1 K N D N W L w 提 取 码 ： 提 取 码 ： h e x g 用 得 比 较 多 的 是 火 绒 剑 ， 卡 巴 斯 基 ， 火 绒 ， D 盾 ， （ P C H u n t e r 一 般 发 现 外 联 地 址 或 者 进 程 可 疑 才 上 ， 其 它 工 具 看 服 务 器 性 能 ， 性 能 差 查 杀 就 上 一 个 工 具 好 了 ） 大 佬 总 结 的 应 急 笔 记 （ 非 常 全 但 很 多 时 候 会 给 多 个 i p 上 机 ， 按 他 的 笔 记 可 能 效 率 太 低 ） ：
h t t p s : / / g i t h u b . c o m / B y p a s s 0 0 7 / E m e r g e n c y - R e s p o n s e - N o t e s 微 步 沙 箱 ： 微 步 沙 箱 ： h t t p s : / / s . t h r e a t b o o k . c n 自 己 的 模 板 自 己 的 模 板 总 结 ： 1 ， 网 络 有 外 联 i p 但 对 应 进 程 正 常 。 2 ， 木 马 查 杀 异 常 ， 5 个 有 问 题 文 件 但 非 近 期 创 建 且 排 查 出 可 能 是 误 报 。 3 ， h o s t 文 件 被 修 改 为 挖 矿 地 址 ， 非 红 队 对 业 务 人 员 处 置 建 议 ： 对 业 务 人 员 处 置 建 议 ： 1 . 对 非 业 务 风 险 文 件 删 除 ， 对 非 业 务 风 险 文 件 删 除 ， 2 . 修 改 修 改 h o s t 文 件 ， 删 除 恶 意 地 址 ， 文 件 ， 删 除 恶 意 地 址 ， 3 . 账 号 登 录 无 异 常 账 号 登 录 无 异 常 ( 查 看 事 件 查 看 器 → 查 看 管 理 员 登 录 时 间 和 4 6 2 5 登 录 失 败   4 6 2 4 登 录 成 功   4 7 2 0   —   账 户 创 建 筛 选 日 志 – 》 事 件 i d ) 4 6 2 5 , 4 6 2 4 , 4 7 2 0 查 看 管 理 员 登 录 正 常 A s p x 系 统 账 号 未 知 ， 但 早 已 禁 用 查 看 服 务 器 无 隐 藏 账 号 、 克 隆 账 号 。 2 . 网 络 连 接 异 常 网 络 连 接 异 常 ( 主 要 看 是 否 外 联 i p , 是 否 和 内 网 可 疑 沦 陷 或 攻 击 i p 有 联 系 ， 有 就 查 相 关 进 程 ， D 盾 会 自 动 更 新 也 可 能 有 外 联 是 D 盾 的 i p ， 这 微 步 查 就 知 道 ）
存 在 外 联 i p ， 但 相 关 进 程 正 常 1 4 x . 1 x x . x 7 9 . x x 对 应 进 程 ， j a v a . e x e ， 无 异 常 上 P C H u n t e r
发 现 进 程 模 块 是 火 绒 公 司 但 还 是 查 一 下 对 可 疑 模 块 排 查 ， 查 杀 ， 创 建 时 间 非 近 期 ， 正 常 非 恶 意 创 建 时 间 非 近 期
3 . 进 程 无 异 常 进 程 无 异 常 （ 主 要 看 签 名 ， 是 否 外 联 i p ， 进 程 文 件 创 建 时 间 ， 不 放 心 可 以 查 杀 或 者 沙 箱 跑 一 下 ， 这 个 火 绒 剑 结 合 P C H u n t e r 看 ）

4 . 计 划 任 务 ， 启 动 项 无 异 常 计 划 任 务 ， 启 动 项 无 异 常 计 划 任 务 为 微 软 的 无 异 常 启 动 项 非 近 期 创 建 无 异 常 ， 而 且 为 正 常 软 件
5 . H o s t 文 件 异 常 文 件 异 常 被 修 改 过 ， 为 恶 意 挖 矿 木 马 地 址
6 . 木 马 查 杀 异 常 木 马 查 杀 异 常 d c : 后 跟 日 期 ， 检 查 创 建 时 间 为 1 9 9 9 年 0 1 月 0 1 日 ， 后 缀 为 . t x t 的 文 件 。 d m : 后 跟 日 期 ， 检 查 修 改 时 间 为 1 9 9 9 年 0 1 月 0 2 日 ， 名 称 包 含 t e 和 . 的 文 件 。 d a : 后 跟 时 间 ， 检 查 访 问 时 间 为 1 9 9 9 年 0 1 月 0 3 日 的 文 件 W e b s h e l l 扫 描 异 常 ， 对 可 疑 j s p 文 件 排 查 ， 发 现 非 近 期 创 建 ， 打 开 查 看 是 注 释 里 的 e v a l 误 报 ， 看 是 w e b 系 统 自 身 文 件 沙 箱 检 查 正 常

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理