应急响应工具汇总及对应下载地址
Linux常用应急工具
名称介绍下载地址备注strings提取二进制文件中的字符串系统自带rootkit针对已知rootkit检测工具官方下载stracestrace 命令是一个集诊断、调试、统计与一体的工具，可以使用 strace 对应用的系统调用和信号传递的跟踪结果来对应用进行分析，以达到解决问题或者是了解应用工作过程的目的。例：strace -f -p pid 用于跟踪进程行为。有些系统没有默认安装stat查看文件的创建、修改、访问时间系统自带psLinux 中的 ps 命令是 Process Status 的缩写。ps 命令用来列出系统中当前运行的那些进程。ps 命令列出的是当前那些进程的快照。例：使用 ps -auxf 用于查看进程，及进程父子关系，用来排查进程相互之间的关系。系统自带toptop 命令是 Linux 下常用的性能分析工具，能够实时显示系统中各个进程的资源占用状况，类似于 Windows 的任务管理器。系统自带lsofLsof（list open files）是一个列出当前系统打开文件的工具。在 Linux 环境下，任何事物都以文件的形式存在，通过文件不仅可以访问常规数据，还可以访问网络连接和硬件。例：lsof -nPi 查看内部对外部的网络连接。系统自带功能强大基本上可以代替netstat和ps lsof命令介绍busyboxBusyBox 是一个集成了三百多个最常用 Linux 命令和工具的软件。BusyBox 包含了一些简单的工具，例如 ls、cat 和 echo 等等，还包含了一些更大、更复杂的工具，如 grep、find、mount 以及 telnet。如果系统命令被替换或者有预加载动态链接库时可以使用此命令来查看系统相关信息（busybox ls 、busybox ps …）官网下载实际测试时发现 有些命令参数与原命令是不同的windows 常用应急工具
名称介绍下载地址备注ProMon微软 Sysinternal 工具集里面的启动管理工具。著名的软件行为监控工具，包括文件、注册表、进程、网络等相关行为。微软sysinternals工具库Autoruns微软 Sysinternal 工具集里面的启动管理工具。枚举出了 Windows 系统几乎所有的可以导致开机启动的方式。包括系统服务、计划任务、开机启动菜单、映像劫持甚至是Explorer、IE 插件以及解码器等等。微软sysinternals工具库TCPView微软 Sysinternal 工具集里面的网络监控工具，可以在系统上查看所有 UDP 和 TCP 端点相关的详细列表，包括远程和本地地址以及 TCP 连接的状态。微软sysinternals工具库strings提取二进制文件中的字符串微软sysinternals工具库procexp进程、dll、句柄、文件签名、VirusTotal检测与一体的进程查看器微软sysinternals工具库火绒剑火绒剑官网与Procexp功能类似，优点是有识别系统文件的功能，缺点是无法复制条目，没有与virustotal联动certutilwindows下计算MD2 MD4 MD5 SHA1 SHA256 SHA384 SHA512 等值系统自带certutil -hashfile image.png md5D盾webshell查杀D盾webshell查杀工具官方下载河马在线webshell查杀 百度webshell 在线查杀
参考文档国家网络安全事件应急预案 奇安信 2020年网络安全应急响应分析报告 2021 上海市网络安全事件应急预案 2019 GB/T 24363-2009 信息安全技术 信息安全应急响应计划规范 GB/T 28827.3-2012 信息技术服务 运行维护 第3部分：应急响应规范 GB/Z 20986-2007 信息安全技术 信息安全事件分类分级指南
