Windows应急响应流程

文件分析

• 最近使用文件

– C:\Documents and Settings\Administrator\Recent

– C:\Documents and Settings\Default User\Recent

– %UserProfile%\Recent

• 系统日志分析

– 事件查看器 eventvwr.msc

用户分析

• 查看是否有新增用户

• 查看服务器是否有弱口令

• 查看管理员对应键值

• lusrmgr.msc 查看账户变化

• net user 列出当前登录账户

• wmic UserAccount get 列出当前系统所有账户

进程分析

• netstat -ano 查看是否打开了可疑端口

• tasklist 查看是否有可疑进程

• 分析开机自启程序

– HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

– HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce

– HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices

– HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

– HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run

– HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

– HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce

– HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices

– HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

– (ProfilePath)\Start Menu\Programs\Startup 启动项

– msconfig 启动选项卡

– gpedit.msc 组策略编辑器

• 查看计划或定时任务

– C:\Windows\System32\Tasks\

– C:\Windows\SysWOW64\Tasks\

– C:\Windows\tasks\

– schtasks

– taskschd.msc

– compmgmt.msc

• 查看启动服务

– services.msc

日志分析

• 事件查看

– eventvwr.msc

其他

• 查看系统环境变量