Windows 入侵排查

<p style="text-indent:2em">当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。</p>
<p style="text-indent:2em">常见的应急响应事件分类：</p>

1. Web 入侵：网页挂马、主页篡改、Webshell
 2. 系统入侵：病毒木马、勒索软件、远控后门
 3. 网络攻击：DDOS 攻击、DNS 劫持、ARP 欺骗
>排查流程：
攻击类型定位-->时间范围-->文件分析-->进程分析-->系统分析-->日志分析-->关联分析-->逻辑推理-->事件总结
 ## 一、检查系统账号安全
1. 查看服务器是否有弱口令，远程管理端口是否对公网开放。
- 据实际情况咨询相关服务器管理员。
- `netstat -ano`
2. 查看服务器是否存在可疑账号、新增账号。
- `lusrmgr.msc`->查看是否有新增/可疑的账号。
- `net user&net localgroup administrators`
3. 查看服务器是否存在隐藏账号、影子账户、克隆账号。
- `regedit`，打开注册表，检查路径
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\
- 使用D盾_web查杀工具，集成了对克隆账号检测的功能。
4. 结合日志，查看管理员登录时间、用户名是否存在异常。
 ```
 eventvwr-windows日志\安全
 事件id号：
 4624  登录成功事件
 4625  登录失败事件
 4720  已创建用户账户
 4732  一个成员被添加到启用安全的本地组 
 程序对主机文件进行访问(勒索病毒对文件加密)
 4656  表示请求了对象的句柄。这也可能与文件访问相关，尤其是当异常程序尝试打开或创建文件时。
 1102 安全日志被清除
 登录类型：
  2   交互式登录（Interactive）  用户在本地进行登录。
 10  远程交互（RemoteInteractive） 通过终端服务、远 程桌面或远程协助 访问计算机。

RDP日志分析: 
 应用程序和服务日志\Microsoft\Windows\TerminalServices-RemoteConnectionManager\Operational 
 记录与远程桌面服务（RDS）相关的事件
 261  RDP-Tcp收到一个连接  出现大量261且间隔时间短 RDP爆破
 1149 远程桌面服务: 用户身份验证已成功，记录登录用户，源ip   
 1150 则记录了远程桌面连接的断开信息，包括断开时间、用户名等

应用程序和服务日志\Microsoft\Windows\TerminalServices-LocalServicesManager\Operational
 记录了与远程桌面服务的本地会话管理相关的多种事件
 21 远程桌面服务会话的登录成功事件。当用户通过远程桌面成功登录到服务器时记录。   查看源网络地址非本地的
 24 远程桌面服务会话被远程断开事件。当远程桌面会话因为用户或管理员的操作被远程断开时记录。
 25 远程桌面服务会话被重新连接事件。当一个先前的远程桌面会话被重新连接时记录。   查看源网络地址非本地的
 ```
## 二、检查异常端口、进程
 1. 检查端口连接情况，是否有远程连接、可疑连接。
 ```
 netstat -ano
 netstat -ano | findstr ESTABLISHED    命令查看目前的端口开放和网络连接，定位可疑的 ESTABLISHED
 tasklist  | findstr PID               根据PID定位进程
wmic process get name,executablepath,processid | findstr PID         根据PID定位进程路径
taskkill -f -pi d 1468                直接杀死pid号
 ```

2. 进程
 ```
 msinfo32--软件环境 -- 正在运行任务，就可以查看到进程的详细信息，比如进程路径、进程ID、文件创建日期以及启动时间等
 打开D盾_web查杀工具，进程查看，关注没有签名信息的进程。
 通过微软官方提供的 Process Explorer 等工具进行排查 。
 ProcessHacker工具查看
 任务管理器 -- 选择对应进程 -- 右键打开文件位置

查看可疑的进程及其子进程。可以通过观察以下内容：
    没有签名验证信息的进程
    没有描述信息的进程
    进程的属主
    进程的路径是否合法
    CPU 或内存资源占用长时间过高的进程
 ```
## 三、检查启动项、计划任务、服务
使用工具Autoruns，查看启动项。

1. 检查服务器是否有异常的启动项。
 命令：
 ```
msinfo32
mfconfig
能看到注册表或者文件夹开机启动项
 ```
   文件夹：
  ```
 系统自动启动的的目录： 
 shell:Common Startup
 C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup
 用户自动启动的的目录： 
 shell:Startup
 C:\Users\xiaoliang\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

```
注册表：
 ```
当前用户生效
HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce     运行一次删除
所有用户生效
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce     运行一次删除
 ```
 启动脚本：
 ```
 gpedit.msc  组策略
点击计算机配置-【Windows设置】-【脚本（启动/关机）】-【启动】
点击用户配置-【Windows设置】-【脚本（登录/注销）】-【登录】
 ```
 2. 检查计划任务
 ```
 命令：
 taskschd.msc

注册表：
 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SchedulingAgent
 ```
 3. 服务自启动
 `services.msc 查看自启动服务`
## 四、查找可疑文件
 1. 查找可疑目录及文件
 ```
 查看用户目录，新建账号会在这个目录生成一个用户目录，查看是否有新建用户目录。
 Window 2003版本 C:\Documents and Settings
Window 2008R2及以后版本 C:\Users\

%UserProfile%\Recent     分析最近打开分析可疑文件。
 
 在服务器各个目录，可根据文件夹内文件列表时间进行排序，查找可疑文件。
 回收站、浏览器下载目录、浏览器历史记录
 修改时间在创建时间之前(复制文件)的为可疑文件
 ```

2. 发现并得到 WebShell、远控木马的创建时间，找出同一时间范围内创建的文件
 ```
 a、利用 [Registry Workshop](http://www.torchsoft.com/en/rw_information.html) 注册表编辑器的搜索功能，可以找到最后写入时间区间的文件。
b、利用计算机自带文件搜索功能，指定修改时间进行搜索。

LastActivityView工具查看
 ```

导航

最近文章

友情链接