Java教程

Windows系统入侵排查与应急响应技术

本文主要是介绍Windows系统入侵排查与应急响应技术,对大家解决编程问题具有一定的参考价值,需要的程序猿们随着小编来一起学习吧!

文章目录

  • 前言
  • 入侵排查
    • 系统账户排查
    • 进程端口排查
    • 启动项的排查
    • 计划服务排查
    • 系统信息排查
    • 日志信息排查
  • 应急工具
  • 总结

前言

前面一篇文章:浅析Linux系统入侵排查与应急响应技术 介绍了 Linux 系统的应急响应技术,本文来学习、记录下 Windows 系统的入侵排查与应急响应技术。

入侵排查

系统账户排查

查看系统是否存在可疑账号,黑客入侵的时候常常喜欢创建隐藏账号。

1、使用net user命令查看系统账户信息(但此方法不能查看到隐藏账号):
在这里插入图片描述
2、进一步执行命令 net user xx查看 xx 用户详细信息,注意 guest 用户是否启用,很多情况下狡猾的红队并不会添加用户,而是启用 guest 用户:
在这里插入图片描述
3、执行命令net user hacker$ 123456 /add创建了一个隐藏的账号 hacker(账号名以$结尾的为隐藏账号),net user是查看不到隐藏账号的:
在这里插入图片描述
4、运行 Win+R--->lusrmgr.msc,通过本地用户和组的管理页面(或者“计算机管理”)的可以查看到隐藏账户:
在这里插入图片描述尴尬……我的家庭版 Win10 不支持,那改用 Win10 专业版虚拟机:
在这里插入图片描述5、删除可疑账户(net user hacker$ /del):
在这里插入图片描述在这里插入图片描述

进程端口排查

先汇总下相关命令:

netstat -ano   #查看所有网络连接及其PID
netstat -ano | findstr 443  #过滤特定端口的网络连接
netstat -ano | findstr TCP  #过滤TCP连接
tasklist | findstr 18544    #查看PID为18544的进程
taskkill /F /pid 18544      #强制结束进程

1、使用命令netstat -ano查看目前的网络连接,定位可疑的 ESTABLISHED 连接,执行结果里面的 443 端口的连接一般是浏览器正在访问网页,但是下面这个外网的 8001 端口的连接就不正常了:
在这里插入图片描述实际上这里是我使用了 CS 的 Backdoor 在 Win10 虚拟机上运行后建立的网络连接(找到主机一个异常的对外连接,对不确认的 IP 可以去微步查看是否威胁情报):
在这里插入图片描述2、接下来使用tasklist | findstr 3232查找 PID=3232 的进程名称:
在这里插入图片描述
3、上面虽然找到进程名称,但是无法判断 Backdoor 文件的路径,故建议采用另一种方法,Windows+R+输入msinfo32,打开“系统信息功能”并依次点击“软件环境→正在运行任务”就可以查看到进程的详细信息,比如进程路径、进程 ID、文件创建日期、启动时间等:
在这里插入图片描述4、最后应急处置,当然是杀死进程并删除 Backdoor 文件,执行命令taskkill /F /pid 3232
在这里插入图片描述

启动项的排查

此项的目的是检查服务器是否有异常的启动项。

检查方法

1、单击【开始】>【运行】,输入 regedit,打开注册表,查看开机启动项是否正常,特别注意如下三个注册表项:

\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce

检查右侧是否有启动异常的项目,如有请删除,并建议安装杀毒软件进行病毒查杀,清除残留病毒或木马:
在这里插入图片描述2、检查组策略,运行 gpedit.msc
在这里插入图片描述
以上是开关机以及用户登录注销时会启动的脚本,注意查看里面是否存放了恶意脚本。

计划服务排查

1、访问“计算机管理”功能,查看“任务计划程序库”,查看是否存在可疑的计划任务:
在这里插入图片描述2、另一种查看方法是,执行命令schtasks.exe,检查计算机与网络上的其它计算机之间的会话或计划任务,如有,则确认是否为正常连接:
在这里插入图片描述

系统信息排查

1、查看系统版本以及补丁信息,可执行命令systeminfo,查看系统信息:
在这里插入图片描述2、排查当前用户最近打开文件,可以在文件管理器输入%userprofile%\recent,即可查看最近打开的文件 :
在这里插入图片描述

日志信息排查

系统日志

1、Windows 的C:\Windows\System32\winevt\Logs路径下存放了系统各类日志文件:
在这里插入图片描述2、双击选中 “Securuty” 安全事件日志文件,可进入事件查看器(另一种办法是 Win+R 打开运行,输入“eventvwr.msc”,回车运行,直接打开“事件查看器”):
在这里插入图片描述3、可导出应用程序日志、安全日志、系统日志,利用 Log Parser 工具(官网下载地址)进行分析:
在这里插入图片描述LogParser 的一些用法:

基本查询结构
Logparser.exe –i:EVT –o:DATAGRID "SELECT * FROM c:\xx.evtx"
查询登录成功的所有事件
LogParser.exe -i:EVT –o:DATAGRID  "SELECT *  FROM c:\Security.evtx where EventID=4624"
查询登录失败的所有事件
LogParser.exe -i:EVT –o:DATAGRID  "SELECT *  FROM c:\Security.evtx where EventID=4625"
查询系统历史开关机记录
LogParser.exe -i:EVT –o:DATAGRID "SELECT TimeGenerated,EventID,Message FROM c:\System.evtx where EventID=6005 or EventID=6006"

WEB 访问日志

1、分析方法: 找到中间件的 web 日志,打包到本地方便进行分析。

2、推荐工具:Window 下,推荐用 EmEditor 进行日志分析,支持大文本,搜索效率还不错。Linux 下,使用 Shell 命令组合查询分析。

应急工具

1、病毒分析 :

PCHunter:http://www.xuetr.com
火绒剑:https://www.huorong.cn
Process Explorer:https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorer
processhacker:https://processhacker.sourceforge.io/downloads.php
autoruns:https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns
OTL:https://www.bleepingcomputer.com/download/otl/

2、病毒查杀:

卡巴斯基(推荐理由:绿色版、最新病毒库):
http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe  
大蜘蛛(推荐理由:扫描快、一次下载只能用1周,更新病毒库):
http://free.drweb.ru/download+cureit+free
火绒安全软件:
https://www.huorong.cn
360杀毒:
http://sd.360.cn/download_center.html

3、病毒动态:

CVERC-国家计算机病毒应急处理中心:http://www.cverc.org.cn
微步在线威胁情报社区:https://x.threatbook.cn
火绒安全论坛:http://bbs.huorong.cn/forum-59-1.html
爱毒霸社区:http://bbs.duba.net
腾讯电脑管家:http://bbs.guanjia.qq.com/forum-2-1.html

4、在线病毒扫描网站:

多引擎在线病毒扫描网 v1.02,当前支持 41 款杀毒引擎:
http://www.virscan.org        
腾讯哈勃分析系统:
https://habo.qq.com          
Jotti 恶意软件扫描系统:
https://virusscan.jotti.org      
针对计算机病毒、手机病毒、可疑文件等进行检测分析:
http://www.scanvir.com        

5、Webshell 查杀:

D盾_Web查杀:
http://www.d99net.net/index.asp
河马 webshell 查杀:
http://www.shellpub.com
深信服 Webshell 网站后门检测工具:
http://edr.sangfor.com.cn/backdoor_detection.html
Safe3:
http://www.uusec.com/webshell.zip

总结

本文总结了一些 Windows 操作系统的入侵排查与应急响应技术,实际的应急场景中应灵活结合各自排查手段。大佬的文章 Windows 应急流程及实战演练介绍了几个 Windows 应急案例可进一步阅读学习下。

本文参考:

  1. Windows 应急流程及实战演练;
  2. Windows应急排查;
  3. Windows应急响应操作手册;
  4. LogParser 使用教程;
  5. 日志分析工具 LogParser 学习笔记。
这篇关于Windows系统入侵排查与应急响应技术的文章就介绍到这儿,希望我们推荐的文章对大家有所帮助,也希望大家多多支持为之网!