windows系统应急响应排查手册

2021年6月29日 24点热度 0条评论 来源: 菜鸟-传奇

windows系统应急响应排查手册

windows运行常用命令

eventvwr     //系统登陆日志
lusrmgr.msc  //系统用户查看
msconfig     //系统启动项查看
ncpa.cpl     //网络连接
firewall.cpl //防火墙状态
taskschd.msc //定时任务

系统安全登陆日志

eventvwr

  • 4624表示登陆成功
  • 4625表示登陆失败

系统日志

  • 41 kernel-power 计算机蓝屏
登陆类型 说明 测试 是否会记录登陆IP地址
Logon type 2 Interactive 本地交互登录。最常见的登录方式。 用户关机本地登陆,登陆会触发此登陆类型日志 记录127.0.0.1本地IP地址
Logon type 3 Network 网络登录 - 最常见的是访问网络共享文件夹或打印机。IIS的认证也是Type 3 hydra对445端口(smb)爆破会触发此登陆类型系统日志
IPC$爆破会触发此类登陆类型系统日志
hydra会记录IP地址与登陆用户
IPC$不会记录登录用户
Logon type 4 Batch 计划任务      
Logon Type 10 RemoteInteractive RemoteInteractive 远程登录 -- 比如Terminal service或者RDP方式。但是Windows 2000是没有Type10的,用Type 2。WindowsXP/2003起有Type 10 RDP爆破登陆会触发此登陆类型系统日志
mstsc远程登陆会触发此登陆类型系统日志
会记录IP地址与登陆用户
Logon Type 7 Unlock 解除屏幕锁定    

系统用户排查

net user     //无法看到$隐藏用户
lusrmgr.msc
regedit.msc  //machine->sam该项->权限->替代所有子对象的权限项目

net user

net user
net user 用户 //查看用户详细信息


lusrmgr.msc

lusrmgr.msc

regedit

regedit



启动项排查

msconfig->services.msc->服务属性
regedit->machine->microsoft->windows->currentversion->run

msconfig

msconfig->services.msc->服务属性
SC delete 服务名
//启动服务删除


regedit->machine->microsoft->windows->currentversion->run

定时任务

计算机->属性->管理
控制版面->管理工具->计划任务
taskschd.msc

计算机->属性->管理

控制版面->管理工具->计划任务

taskschd.msc

进程排查

任务管理器
tasklist

任务管理器

tasklist

tasklist /svc

网络状态排查

netstat -ano

netstat -anob

pid定位

tasklist | find "pid"
wmic process get name,executablepath,processid | find 进程pid
wmic process where name="powershell.exe"

tasklist | findstr "pid"

wmic process get name,executablepath,processid | find 进程pid

wmic process where name="powershell.exe"

    原文作者:菜鸟-传奇
    原文地址: https://blog.csdn.net/qq_44204058/article/details/119404161
    本文转自网络文章,转载此文章仅为分享知识,如有侵权,请联系管理员进行删除。