應急響應的重要性
近年來信息安全事件頻發(fā)，信息安全的技能、人才需求大增?，F(xiàn)在，不管是普通的企業(yè)，還是專業(yè)的安全廠商，都不可避免的需要掌握和運用好信息安全的知識、技能，以便在需要的時候，能夠御敵千里。所謂養(yǎng)兵千日，用兵一時，擁有一支完善的團隊或完整的流程，可以保障企業(yè)在出現(xiàn)重大安全事件時，能有條不紊的進行處置，及時把破壞范圍縮小。
且在即將開始的護網(wǎng)中，應急響應也是其中非常重要的一環(huán)，學好應急響應能讓你在面試中如虎添翼。
開機啟動項
- 1、利用操作系統(tǒng)中的啟動菜單C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
- 2、利用系統(tǒng)配置msconfig
- 3、利用注冊表regedit HKEY CURRENT USERS/software/Microsoft/Windows/CurrentVersion/Run
temp文件分析
temp(臨時文件夾)，位于C:\Documents and Settings\AdministratorLocal Settings\內(nèi)。很多臨時文件放在這里，用來收藏夾，瀏覽網(wǎng)頁的臨時文件，編輯文件等。
- 查看temp文件夾發(fā)現(xiàn)PE文件 (exe、di1sys)，或者是否具有特別大的tmp文件
- 將文件上傳到 https://wwwvirustotal.com/ 進行查看，是否為惡意代碼
文章分享
瀏覽器信息分析
- 瀏覽器瀏覽痕跡查看
- 瀏覽器Cookie信息查看
- 瀏覽器文件下載記錄查看
文件時間屬性分析
如果修改時間要早于創(chuàng)建時間那么這個文件存在很大可疑。使用中國菜刀等工具修改的 修改時間，通過文件屬性可以查看到創(chuàng)建時間、修改時間、訪問時間。
最近打開文件分析
Windows系統(tǒng)中默認記錄系統(tǒng)中最近打開使用的文件信息?？梢栽谀夸汣:\Documents and Settings\Administrator Recent 下查看，也可以使用 win+R打開運行%userprofile%\recent查看。
進程分析
- netstat-ano | find“ESTABLISHED”查看網(wǎng)絡(luò)建立連接狀態(tài)
- tasklist /svc | find “PID” 查看具體PID進程對應的程序
- taskkill /PID pid值 /T 關(guān)閉進程
計劃任務
- schtasks.exe
- 任務計劃程序
隱藏賬戶的發(fā)現(xiàn)添加與刪除
- 最為簡單的隱藏賬戶建立: net user test$ test /add && net localgroup administrator test$ /add
- 計算機管理->本地用戶和組->用戶
- 注冊表 HKEY_LOCAL_MACHINE/HARDWARE/SAM/SAM/DOMAINS/ACCOUNT/USERS/NAMES
-
這樣添加的用戶無法在該命令中被發(fā)現(xiàn)，可以在計算機管理和注冊表中看到
若在這其中也被隱藏，只能看注冊表了。
惡意進程發(fā)現(xiàn)及關(guān)閉
使用工具psexplore 找到惡意程序之后在進程列表中刪除。
psexplore可以聯(lián)動VirusTotal進行惡意代碼分析并進行查殺。
下載鏈接文章來源：http://www.zghlxwxcb.cn/news/detail-787111.html
補丁信息
- control->程序->已安裝更新
- systeminfo
- win+i更新
webshell查殺
D盾、河馬webshell文章來源地址http://www.zghlxwxcb.cn/news/detail-787111.html
到了這里，關(guān)于【W(wǎng)indows應急響應】HW藍隊必備——開機啟動項、臨時文件、進程排查、計劃任務排查、注冊表排查、惡意進程查殺、隱藏賬戶、webshell查殺等的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
