应急响应入侵排查之第一篇Windows

星球守护者发布时间：2022-02-18 14:21:54 ，浏览量：1

文章目录

- 0x00 介绍
- 0x01 入侵排查思路
- - 1.1 检查系统账号安全
  - - 第一步查看服务器是否有弱口令，远程管理端口是否对公网开放。
    - 第二步查看服务器是否存在可疑账号、新增账号。
    - 第三步查看服务器是否存在隐藏账号、克隆账号。
    - - 方法一：打开注册表，查看管理员对应键值。
      - 方法二：使用D盾_web查杀工具，集成了对克隆账号检测的功能。
    - 第四步结合日志，查看管理员登录时间、用户名是否存在异常。
    - - 检查步骤：（七步）
  - 1.2 检查异常端口、进程
  - - 第一步检查端口连接情况，是否有远程连接、可疑连接。
    - - 检查步骤一：
      - 检查步骤二：
    - 第二步检查进程
    - - 检查步骤：
  - 1.3 检查启动项、计划任务、服务
  - - 第一步检查服务器是否有异常的启动项。
    - - 检查步骤：
    - 第二步检查计划任务
    - - 检查步骤：
  - 1.4 检查系统相关信息
  - - 第一步查看系统版本以及补丁信息
    - - 检查步骤：
      - 检查步骤：
    - 第二步查看隐藏文件
    - - 检测步骤：
  - 摘抄

https://blog.csdn.net/kali_Ma/article/details/120187852

0x00 介绍

当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，
进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。

请添加图片描述

0x01 入侵排查思路 1.1 检查系统账号安全第一步查看服务器是否有弱口令，远程管理端口是否对公网开放。

检查方法：据实际情况咨询相关服务器管理员。

第二步查看服务器是否存在可疑账号、新增账号。

检查方法：打开 cmd 窗口，输入 lusrmgr.msc 命令，查看是否有新增/可疑的账号，如有管理员群组的（Administrators）里的新增账户，如有，请立即禁用或删除掉。

第三步查看服务器是否存在隐藏账号、克隆账号。

检查方法：

方法一：打开注册表，查看管理员对应键值。

1）在桌面打开运行（可使用快捷键 win+R），输入 regedit，即可打开注册表编辑器； 2）选择 HKEY_LOCAL_MACHINE/SAM/SAM，默认无法查看该选项内容，右键菜单选择权限，打开权限管理窗口； 3）选择当前用户（一般为 administrator），将权限勾选为完全控制，然后确定。关闭注册表编辑器；

在这里插入图片描述

4）再次打开注册表编辑器，即可选择 HKEY_LOCAL_MACHINE/SAM/SAM/Domains/Account/Users； 5）在 Names 项下可以看到实例所有用户名，

如出现本地账户中没有的账户，即为隐藏账户，在确认为非系统用户的前提下，可删除此用户。 在这里插入图片描述

方法二：使用D盾_web查杀工具，集成了对克隆账号检测的功能。

在这里插入图片描述

第四步结合日志，查看管理员登录时间、用户名是否存在异常。检查步骤：（七步）

第一步 Win+R 打开运行，输入"eventvwr.msc"，回车运行，打开“事件查看器”。

第二步导出 Windows 日志 – 安全，

利用微软官方工具 Log Parser 进行分析。在这里插入图片描述

在这里插入图片描述

第三步查看成功的所有事件

LogParser.exe -i:EVT –o:DATAGRID "SELECT * FROM C:\20220217.evtx where EventID=4624" 在这里插入图片描述

第四步指定登录时间范围的事件：

(查询2022-01-01 23:32:11到2022-02-17 23:34:00的登录成功的日志信息) LogParser.exe -i:EVT –o:DATAGRID "SELECT * FROM C:\20220217.evtx where TimeGenerated>'2022-01-01 23:32:11' and TimeGenerated

关注

打赏

1662051426

查看更多评论

应急响应入侵排查之第一篇Windows

最近更新

热门博客

[ 申请 ]友情链接：