【应急响应】Windows应急响应 - 基础命令篇

前言

在如今的数字化时代，Windows系统面对着越来越复杂的网络威胁和安全挑战。本文将深入探讨在Windows环境下的实战应急响应策略。我们将重点关注实际应急响应流程、关键工具的应用，以及如何快速准确地识别和应对安全事件。通过分享实际案例分析，旨在帮助网络安全从业者提升应急响应能力，有效保护关键资产和数据的安全。

应急响应流程

Windows系统的应急响应是指在发生安全事件或者怀疑系统遭受攻击时，采取的快速响应和处置措施，以最大限度地减少损失并恢复系统的安全性和可用性。
以下是一般情况下的Windows应急响应详细步骤：

1. 确认安全事件
监控系统日志: 检查Windows事件日志（Event Viewer），寻找异常事件、错误消息或警告，特别关注安全事件、登录异常等。
2. 切断系统与网络连接
物理隔离: 如果发现安全威胁，立即考虑物理隔离系统，断开与网络的连接，防止攻击扩散或数据泄露。
3. 收集证据和分析
镜像磁盘: 制作系统的磁盘镜像，以便后续离线分析和取证，确保原始数据不被篡改。
4. 隔离受影响系统
隔离系统: 将受影响的系统从生产环境隔离，防止继续影响其他系统或网络。
5. 安全漏洞修复和系统清理
修补漏洞: 安装系统和应用程序的最新补丁和安全更新，修复已知的安全漏洞。
6. 恢复系统和监控
系统恢复: 在清理和修复后，恢复系统的正常运行状态，并确保所有必要的服务和应用程序正常工作。
7. 事后总结和改进
事件总结: 对安全事件进行总结和分析，了解攻击的方式和入侵路径，制定改进措施。

在进行应急响应时，最重要的是快速反应、有效隔离和详细记录，以确保最小化损失和快速恢复系统的安全状态。

Windows基础应急命令

一、系统排查

1、系统详细信息

简单了解系统信息
systeminfo

image.png

GUI显示的系统信息
msinfo32

2、网络连接

netstat 是一个用于显示网络连接、路由表和网络接口信息的命令行工具

-a显示所有连接（包括监听连接）。
-t显示TCP协议的连接。
-u显示UDP协议的连接。
-n显示数字格式的地址和端口号（不解析域名和服务名）。
-o显示建立连接的进程标识（PID）。
-p显示建立连接的程序名称和PID。
-e显示详细的网络统计信息，包括以太网帧和TCP/UDP数据包。
-s显示协议统计信息。
-r显示路由表信息。
-c持续显示网络状态信息，类似于UNIX系统的top命令。
-l仅显示监听状态的连接。
-x显示UNIX域套接字的连接。
-f显示FQDN（Fully Qualified Domain Names）格式的域名。
-y显示TCP连接的TCP数据包信息。
-v显示netstat命令的版本信息。
-h 或 --help显示netstat命令的帮助信息。
netstat -ano

image.png
网络连接各状态含义

状态含义
LISTENING正在等待传入的连接请求。
ESTABLISHED连接已经建立，数据可以在两个端点之间传输。
TIME_WAIT连接已经关闭，等待足够的时间以确保对方已收到连接关闭请求。
CLOSE_WAIT本地端已经关闭连接，但是远程端仍保持连接打开状态。
FIN_WAIT_1已经发送连接关闭请求，正在等待远程端确认。
FIN_WAIT_2已经收到远程端的连接关闭请求，正在等待确认。
CLOSED没有活动的连接或监听。
SYN_SENT正在发送连接请求。
SYN_RECEIVED已经收到对方的连接请求，并发送了确认。
LAST_ACK已经发送连接关闭请求，并收到对方的确认，正在等待最终关闭。
RESET连接被远程端重置。通常是由于对方在本地端尝试建立连接之前关闭。

在网络安全应急响应中，对于处于 ESTABLISHED 状态的网络连接进行重点排查是非常重要的。这是因为

  1. 持久性连接：ESTABLISHED连接通常是持久性的，数据可以在两个端点之间自由传输。这种连接可能会被恶意软件或攻击者利用来持续地传输数据、执行命令或者窃取信息。
  2. C&C通道：恶意软件常常使用ESTABLISHED连接作为命令和控制（C&C）通道，使得攻击者可以远程控制受感染系统，执行各种攻击活动。
  3. 数据泄露：正常情况下，ESTABLISHED连接用于合法的数据传输。但是，如果系统遭到入侵或者恶意软件感染，这些连接可能用于非授权的数据泄露，如窃取敏感信息、文件传输等。
  4. 横向扩展：攻击者可以利用已建立的ESTABLISHED连接从一个受感染的主机向其他内部系统横向扩展攻击，从而扩大其攻击面。
    ESTABLISHED 状态表示连接已经成功建立并且正在活跃地传输数据。在安全的角度来看，我们关注 ESTABLISHED 连接的主要原因包括：

因此，网络安全人员在进行安全响应时，需要仔细检查和分析所有处于ESTABLISHED状态的连接，确保这些连接是合法的，不会对系统安全造成威胁。通过检查ESTABLISHED连接，可以及时发现并应对可能的安全威胁和攻击。

根据PID定位进程

重点关注 ESTABLISHED pid
查看进程 tasklist

tasklist | findstr "4020"

image.png

快速定位端口对应的进程
netstat -anb

image.png

根据进程定位应用程序
任务管理器-进程-选中进程名-右击打开文件位置

image.png
image.png

3、进程排查

1、打开任务管理器查看进程

image.png

2、tasklist命令

列出所有当前正在运行的进程及其基本信息

image.png

显示每个进程托管的服务信息，包括服务名称和进程 ID：
tasklist /svc

image.png

tasklist 命令可以结合管道符 | 和其他命令一起使用，比如 findstr 来过滤特定的信息或进程。
tasklist | findstr "4020"

4、排查检测账号

1、查看当前登录到计算机上的用户会话信息
query user

image.png

2、显示所有用户账户
net user

image.png

账号后面加上$在命令终端是查看不到
访问注册表\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names对比数量是否一致，不一致则说明有隐藏用户

image.png

需要在计算机管理 本地用户和组查看 也可以运行：

lusrmgr.msc

image.png
image.png

3、账号克隆

创建隐藏用户并将其权限（F值）修改为与管理员相同的做法，可能导致严重的安全漏洞。这种操作可能使未经授权的用户获得管理员权限，并可能被用作系统的后门。为了发现潜在的克隆账号，建议检查注册表\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names中是否存在带有$符号的隐藏用户。如果发现这样的用户，请仔细检查其权限设置，确保不与管理员账号相同。一旦发现异常，应立即采取措施防止进一步的安全风险。

访问注册表 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users 权限不够可以设置可读权限

若打开SAM后内无文件夹，右键选择权限 - 给指定用户配置读取权限

image.png
image.png
系统用户信息的查询

wmic useraccount get name,Sid

若两个账号的 SID相同，则存在克隆账号

image.png

D盾可以检测出克隆用户

image.png

5、利用系统启动项执行后门

系统中的启动目录
C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
或者
运行 - shell:startup

image.png
image.png

系统配置msconfig
运行 - msconfig

image.pngimage.png

注册表启动
HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce
msinfo32.exe命令

image.png

6、计划任务

运行 - taskschd.msc   
打开计划任务 - 查看属性，检测是否存在可疑的计划任务

image.png
image.pngWindows 系统中用于管理和配置计划任务的命令行工具

schtasks

image.png

7、注册表

运行 - regedit

image.png
image.png

8、服务

运行 - msconfig
或者
Windows 任务管理器 - 服务
或者
计算机管理 - 服务和应用程序 - 服务
或者
运行 - msinfo32.exe

image.png
image.png
image.png
image.png

9、组策略

运行 - gpedit.msc

image.png
image.png

二、日志排查

1、windows 系统安全日志分析

主要记录系统的安全信息，包括成功的登录、退出，不成功的登录，系统文件的创建、删除、更改，需要指明的是安全日志只有系统管理员才可以访问，这也体现了在大型系统中安全的重要性。

image.png

事件类型注释
信息（Information）指应用程序、驱动程序或服务的成功操作事件
警告（Warning）系统发现了一个可能会导致问题的情况，但尚未产生错误。例如，磁盘空间不足、某些服务未能及时启动等
错误（Error）系统或应用程序发生了一个问题或失败，可能导致系统功能的部分或完全受到影响。例如，应用程序崩溃、服务停止等
审核成功（Success Audit）审核成功事件记录了成功的审核活动，例如成功的用户登录、文件或对象访问成功等。这些事件有助于审计和跟踪系统访问和活动
审核失败（Failure Audit）审核失败事件记录了审核尝试但未成功的活动，例如无效的登录尝试、拒绝的访问尝试等。这些事件有助于检测潜在的安全威胁或攻击行为

Windows安全事件最常用的事件ID：

事件ID说明备注
1074计算机开机、关机、重启的时间、原因、注释查看异常关机情况
1102清理审计日志发现篡改事件日志的用户
4624登录成功检测异常的未经授权的登录
4625登陆失败检测可能的暴力密码攻击
4632成员已添加到启用安全性的本地组检测滥用授权用户行为
4634注销用户
4648试图使用显式凭据登录
4657注册表值被修改
4663尝试访问对象检测未经授权访问文件和文件夹的行为。
4672administrator超级管理员登录（被赋予特权）
4698计划任务已创建
4699计划任务已删除
4700启用计划任务
4701禁用计划任务
4702更新计划任务
4720创建用户
4726删除用户
4728成员已添加到启用安全性的全局组确保添加安全组成员的资格信息
4740锁定用户账户检测可能的暴力密码攻击
4756成员已添加到启用安全性的通用组
6005表示日志服务已经启动（表明系统正常启动了）查看系统启动情况
事件查看器
事件查看器
或者
运行 - eventvwr 或 eventvwr.msc
在事件选择安全 - 右侧筛选当前日志 - 输入id进行 - 筛选

image.png

定期审查安全事件日志，特别关注事件ID 4720，可以帮助及时发现未经授权的账户删除操作，从而有效防范可能存在的安全风险

image.png
image.png

通过筛选事件ID 4625，发现了大量的登录失败记录，这可能表明系统正在遭受暴力破解的尝试

image.png

2、web日志分析

使用不同的中间件或服务，Web应用的日志位置和格式可能会有所不同，可以通过搜索引擎查找来获取具体的信息。这些日志可以帮助分析攻击者的访问时间、使用的IP地址以及他们尝试访问的具体网页或功能。

1、Nginx

访问日志记录了所有请求到达 Nginx 并得到响应的详细信息，包括客户端 IP 地址、请求时间、请求方法、请求的 URL、响应状态码等。在Nginx 的配置文件中，通常通过 access_log 指令指定访问日志的路径和格式。
默认路径：logs/access.log

image.png

2、Apache

访问日志记录了所有到达 Apache 服务器并得到响应的请求详细信息，包括客户端 IP 地址、请求时间、请求方法、请求的URL、响应状态码等。在 Apache 的配置文件中，通过 CustomLog 指令指定访问日志的路径和格式

默认路径：logs/access.log

image.png

3、Tomcat

访问日志记录了所有进入 Tomcat 并得到响应的请求详细信息，包括客户端 IP 地址、请求时间、请求方法、请求的 URL、响应状态码等。在Tomcat 的配置文件中，通过修改 server.xml 文件中< Host >元素下的 AccessLogValve来配置访问日志的输出路径和格式。

默认路径：logs/access.YYYY-MM-DD.log

image.png

三、文件痕迹排查

1、查看用户最近的打开的文件

检查用户最近打开过的文件，并对可能可疑的文件进行详细分析。如果发现可疑文件，将其上传到病毒库平台进行进一步分析

运行 - %UserProfile%\Recent

image.png
image.png

2、查看临时目录

Windows临时目录在安全应急响应中用于分析和检测潜在的恶意文件和活动

运行 - %tmp%

image.png
image.png

四、webshell&木马病毒 - 查杀

1、webshell

河马：https://www.shellpub.com/
D盾(iis)：https://www.d99net.net/

2、木马病毒

360杀毒：https://sd.360.cn/
360安全大脑：https://sc.360.net/
火绒：https://www.huorong.cn/
微步在线云沙箱：https://s.threatbook.com/
腾讯哈勃分析系统：https://habo.qq.com/
Jotti恶意软件扫描系统：https://virusscan.jotti.org/
ScanVir：http://www.scanvir.com/

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mfbz.cn/a/782197.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

基于S32K144驱动NSD8381

基于S32K144驱动NSD8381

文章目录 1.前言2.芯片介绍2.1 芯片简介2.2 硬件特性2.3 软件特性 3.测试环境3.1 工具3.2 架构 4.软件驱动4.1 SPI4.2 CTRL引脚4.3 寄存器4.4 双极性步进电机驱动流程 5.测试情况6.参考资料 1.前言 最近有些做电磁阀和调光大灯的客户需要寻找国产的双极性步进电机驱动&#xf…
阅读更多...
QT入门笔记-自定义控件封装 30

QT入门笔记-自定义控件封装 30

具体代码如下: QT core guigreaterThan(QT_MAJOR_VERSION, 4): QT widgetsCONFIG c17# You can make your code fail to compile if it uses deprecated APIs. # In order to do so, uncomment the following line. #DEFINES QT_DISABLE_DEPRECATED_BEFORE0x060000 …
阅读更多...
Spring AOP源码篇四之 数据库事务

Spring AOP源码篇四之 数据库事务

了解了Spring AOP执行过程&#xff0c;再看Spring事务源码其实非常简单。 首先从简单使用开始, 演示Spring事务使用过程 Xml配置&#xff1a; <?xml version"1.0" encoding"UTF-8"?> <beans xmlns"http://www.springframework.org/schema…
阅读更多...
软件架构之数据库系统（2）

软件架构之数据库系统（2）

软件架构之数据库系统&#xff08;2&#xff09; 3.4 事务管理3.4.1 并发控制3.4.2 故障与恢复 3.5 备份与恢复3.6分布式数据库系统3.6.1分布式数据库的概念3.6.2 分布式数据库的架构 3.7 数据仓库3.7.1 数据仓库的概念3.7.2数据仓库的结构3.7.3 数据仓库的实现方法 3.8 数据挖…
阅读更多...
超高精电容传感器PCAP01调试+LABVIEW数据可视化调试手记

超高精电容传感器PCAP01调试+LABVIEW数据可视化调试手记

PCAP01超高精电容传感芯片STM32LabView可视化 文章目录 PCAP01超高精电容传感芯片STM32LabView可视化一、PCAP01介绍1.1、PCAP01引脚定义1.2、电容测量1.3、温度测量1.4、PCAP典型测试电路 二、PCAP01的STM32驱动2.1、SPI协议配置2.2、PCAP01浮空电容测量内部温度测量操作流程 …
阅读更多...
计算机系统简述

计算机系统简述

目标 计算机世界并非如此神秘。相反&#xff0c;计算机是非常“确定”的一个系统&#xff0c;即在任何时候&#xff0c;在相同的方法、相同的状态下&#xff08;当然还包括相同的起始条件&#xff09;&#xff0c;同样的问题必然获得相同的结果。其实&#xff0c;计算机并不是…
阅读更多...
前端实现无缝自动滚动动画

前端实现无缝自动滚动动画

1. 前言: 前端使用HTMLCSS实现一个无缝滚动的列表效果 示例图: 2. 源码 html部分源码: <!--* Author: wangZhiyu <w3209605851163.com>* Date: 2024-07-05 23:33:20* LastEditTime: 2024-07-05 23:49:09* LastEditors: wangZhiyu <w3209605851163.com>* File…
阅读更多...
强化学习的数学原理：时序差分算法

强化学习的数学原理：时序差分算法

概述 之前第五次课时学习的 蒙特卡洛 的方法是全课程当中第一次介绍的第一种 model-free 的方法&#xff0c;而本次课的 Temporal-Difference Learning 简称 TD learning &#xff08;时序差分算法&#xff09;就是第二种 model-free 的方法。而对于 蒙特卡洛方法其是一种 non…
阅读更多...
使用大漠插件进行京东联盟转链

使用大漠插件进行京东联盟转链

由于之前开发了一套使用api转链的接口在前面几个月失效了。因为京东联盟系统升级&#xff0c;导致之前可以转的链接现在必须要升级权限才可以。但是升级条件对于我们这些自己买东西转链想省点钱的人来说基本上达不到。 所以&#xff0c;基于这种情况。我之前研究过大漠插件&am…
阅读更多...
数据库的学习（4）

数据库的学习（4）

一、题目 1、创建数据表qrade: CREATE TABLE grade(id INT NOT NULL,sex CHAR(1),firstname VARCHAR(20)NOT NULL,lastname VARCHAR(20)NOT NULL,english FLOAT,math FLOAT,chinese FLOAT ); 2、向数据表grade中插入几条数据: (3,mAllenwiiliam,88.0,92.0 95.0), (4,m,George&…
阅读更多...
第七篇——攻谋篇：兵法第一原则——兵力原则，以多胜少

第七篇——攻谋篇：兵法第一原则——兵力原则，以多胜少

目录 一、背景介绍二、思路&方案三、过程1.思维导图2.文章中经典的句子理解3.学习之后对于投资市场的理解4.通过这篇文章结合我知道的东西我能想到什么&#xff1f; 四、总结五、升华 一、背景介绍 微观层面上&#xff0c;也有很多值得深度思考的问题 二、思路&方案 …
阅读更多...
用ThreadLocal解决线程隔离问题

用ThreadLocal解决线程隔离问题

存在的以下代码所示的线程隔离问题&#xff1a; package study.用ThreadLocal解决线程隔离问题;/*线程隔离 - 在多线程并发场景下&#xff0c;每个线程的变量都应该是相互独立的线程A&#xff1a;设置&#xff08;变量1&#xff09; 获取&#xff08;变量1&#xff09;线程B&a…
阅读更多...
瑞芯微rk356x TF卡烧写选择指定的屏幕打印烧写的过程

瑞芯微rk356x TF卡烧写选择指定的屏幕打印烧写的过程

rk356x中TF卡烧写屏幕选择 1、开发环境2、问题描述3、解决办法4、总结5、 图片展示1、开发环境 系统：linux系统 芯片：356x 显示：多屏显示（HDMI, MIPI, LVDS, EDP） 2、问题描述 由于在多屏显示的情况下，HDMI屏在LVDS、MIPI或者EDP协同下，默认情况下，在TF卡烧录过程中…
阅读更多...
论文润色最强最实用ChatGPT提示词指令

论文润色最强最实用ChatGPT提示词指令

大家好&#xff0c;感谢关注。我是七哥&#xff0c;一个在高校里不务正业&#xff0c;折腾学术科研AI实操的学术人。关于使用ChatGPT等AI学术科研的相关问题可以和作者七哥&#xff08;yida985&#xff09;交流&#xff0c;多多交流&#xff0c;相互成就&#xff0c;共同进步&a…
阅读更多...
C++语言相关的常见面试题目(二)

C++语言相关的常见面试题目(二)

1.vector底层实现原理 以下是 std::vector 的一般底层实现原理&#xff1a; 内存分配&#xff1a;当创建一个 std::vector 对象时&#xff0c;会分配一块初始大小的连续内存空间来存储元素。这个大小通常会随着 push_back() 操作而动态增加。 容量和大小&#xff1a;std::vec…
阅读更多...
【Linux】进程间的通信----管道

【Linux】进程间的通信----管道

&#x1f490; &#x1f338; &#x1f337; &#x1f340; &#x1f339; &#x1f33b; &#x1f33a; &#x1f341; &#x1f343; &#x1f342; &#x1f33f; &#x1f344;&#x1f35d; &#x1f35b; &#x1f364; &#x1f4c3;个人主页 &#xff1a;阿然成长日记 …
阅读更多...
妈妈带女儿美在心里

妈妈带女儿美在心里

在这个充满温情与惊喜的午后&#xff0c;阳光温柔地洒落在每一个角落&#xff0c;仿佛连空气弥漫着幸福的味道。就在这样一个平凡的时刻&#xff0c;一段关于爱与成长的温馨画面&#xff0c;悄然在网络上绽放&#xff0c;引爆了无数人的心弦——#奚梦瑶2岁女儿身高#&#xff0c…
阅读更多...
在 VS Code 中自动化 Xcode 项目编译和调试

在 VS Code 中自动化 Xcode 项目编译和调试

在 VS Code 中自动化 Xcode 项目编译和调试 在日常的开发工作中&#xff0c;Xcode 是 macOS、iOS、watchOS 和 tvOS 应用程序开发的主要工具。为了提高工作效率&#xff0c;许多开发者选择在 Visual Studio Code (VS Code) 中编辑代码&#xff0c;并希望能够直接从 VS Code 启…
阅读更多...
【vue组件库搭建06】组件库构建及npm发包

【vue组件库搭建06】组件库构建及npm发包

一、格式化目录结构 根据以下图片搭建组件库目录 index.js作为入口文件&#xff0c;将所有组件引入&#xff0c;并注册组件名称 import { EButton } from "./Button"; export * from "./Button"; import { ECard } from "./Card"; export * fr…
阅读更多...
网络通信总体框架

网络通信总体框架

目录 网络通信 一、网络通信的定义与基本原理 二、网络通信的组成要素 三、网络通信的应用与发展 网络体系结构 一、网络体系结构的定义与功能 二、OSI七层参考模型 三、网络体系结构的重要性 网络核心与边缘 一、网络核心 1. 定义与功能 2. 组成部分 3. 技术特点 …
阅读更多...
最新文章

Copyright @ 2022~2023