【Windows应急响应】HW蓝队必备——开机启动项、临时文件、进程排查、计划任务排查、注册表排查、恶意进程查杀、隐藏账户、webshell查杀等-Toy模板网

这篇具有很好参考价值的文章主要介绍了【Windows应急响应】HW蓝队必备——开机启动项、临时文件、进程排查、计划任务排查、注册表排查、恶意进程查杀、隐藏账户、webshell查杀等。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

应急响应的重要性

近年来信息安全事件频发，信息安全的技能、人才需求大增。现在，不管是普通的企业，还是专业的安全厂商，都不可避免的需要掌握和运用好信息安全的知识、技能，以便在需要的时候，能够御敌千里。所谓养兵千日，用兵一时，拥有一支完善的团队或完整的流程，可以保障企业在出现重大安全事件时，能有条不紊的进行处置，及时把破坏范围缩小。
且在即将开始的护网中，应急响应也是其中非常重要的一环，学好应急响应能让你在面试中如虎添翼。

开机启动项

1、利用操作系统中的启动菜单C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
2、利用系统配置msconfig
3、利用注册表regedit HKEY CURRENT USERS/software/Microsoft/Windows/CurrentVersion/Run

temp文件分析

temp(临时文件夹)，位于C:\Documents and Settings\AdministratorLocal Settings\内。很多临时文件放在这里，用来收藏夹，浏览网页的临时文件，编辑文件等。

查看temp文件夹发现PE文件 (exe、di1sys)，或者是否具有特别大的tmp文件
将文件上传到 https://wwwvirustotal.com/ 进行查看，是否为恶意代码
文章分享

windows应急响应,应急响应,windows,microsoft

浏览器信息分析

浏览器浏览痕迹查看
浏览器Cookie信息查看
浏览器文件下载记录查看

文件时间属性分析

如果修改时间要早于创建时间那么这个文件存在很大可疑。使用中国菜刀等工具修改的修改时间，通过文件属性可以查看到创建时间、修改时间、访问时间。

进程分析

netstat-ano | find“ESTABLISHED”查看网络建立连接状态
tasklist /svc | find “PID” 查看具体PID进程对应的程序
taskkill /PID pid值 /T 关闭进程

计划任务

schtasks.exe
任务计划程序

隐藏账户的发现添加与删除

最为简单的隐藏账户建立: net user test$ test /add && net localgroup administrator test$ /add
计算机管理->本地用户和组->用户
注册表 HKEY_LOCAL_MACHINE/HARDWARE/SAM/SAM/DOMAINS/ACCOUNT/USERS/NAMES
这样添加的用户无法在该命令中被发现，可以在计算机管理和注册表中看到

若在这其中也被隐藏，只能看注册表了。