应急响应入门篇-windows分析排查技术(上)

作者:内容转载 时间:2021-11-11 点击数:

一、应急响应:

概念:

一般情况下,各种木马,病毒等恶意程序,都会在计算机开机启动过程中启动。

当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时,急需第一时间进行处理,使企业的网络信息系统在最短时间内恢复正常工作,进一步查找入侵来源,还原入侵事故过程,同时给出解决方案与防范措施,为企业挽回或减少经济损失。

常见的应急响应事件分类:

web入侵:网页挂马、主页篡改、Webshell
系统入侵:病毒木马、勒索软件、远控后门
网络攻击:DDOS攻击、DNS劫持、ARP欺骗

分析排查是指对windows系统中的文件、进程、系统信息、日志记录等进行检测,挖掘windows系统中是否具有异常情况。目的在于:保护windows系统安全


二、windows应急响应实际分析

在windows系统中可以通过以下三种方式查看开机启动项

1.分析开机启动项

方法1.利用操作系统中的启动菜单

1.先进入组织,然后打开文件夹选项,把隐藏文件显示。

2.然后输入路径:C:\Users\x\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup,访问就看到了开机启动项里的文件

法2,利用系统配置msconfig

1.使用win+r ,输入msfconfig

2.然后对正在运行的文件进行分析。如vmvaretools

法3.利用注册表regedit

使用win+r,输入regedit,一步一步找到开机启动项的位置

然后进行下一步分析

02文件分析-temp临时异常文件

temp(临时文件夹),位于C:\Documents and settings\Administrator

法1:直接访问根目录

法2:输入%temp%,然后运行,即可调用出来。

3.对temp目录下的pe文件进行查看,查看那些比较大一点的文件(exe、dll、sys)

4.将文件上传到virustotal进行查看,是否为恶意代码

https://www.virustotal.com/

03文件分析—浏览器信息分析

在被黑客拿下的服务器,很有可能会使用浏览器进行网站的访问,因此我们可以查看浏览器记录,探索浏览器是否被使用和下载恶意代码。

1.先打开ie浏览器,然后在浏览器打开历史记录

2.然后按照日期进行筛选,查看可疑程序时间。

3.由于在不同浏览器,查看浏览记录的方式不一样。所以推荐一个工具browserhistory

下载之后打开软件,进行配置

然后进行浏览器历史记录查看。

查看浏览器cookie信息,推荐iecookies view

进行筛选,查找。

保存文件

然后对其进行分析

推荐一个下载工具的地方:

http://launcher.nirsoft.net/downloads/index.html

04 文件时间属性分析

在windows系统下,文件属性的时间属性有:创建时间、修改时间、访问时间(默认情况下禁用)

如果遇到了一个修改时间早于创建时间,比较异常的那种修改时间。这种文件就特别可疑/。

没找到可疑文件,记得认真看一下修改时间。

可以使用中国菜刀连接,然后修改文件的修改时间

5最近打开文件分析

windows系统默认记录系统中最近打开使用的文件信息

可以在目录 C:\Users\x\Recent下查看,也可以使用win+r 输入 %UserProfile%\Recent 查看

1.然后打开最近的文件

可以直接打开文件进行分析。

如果文件太多,还可以使用日期进行筛选

最后还可以使用cmd命令 find / ? 加各种参数然后对最近打开的文件进行筛选。

总结:

本文针对常见的攻击事件,总结了一些如何对Window服务器入侵,一步步操作对入侵进行分析。主要针对开机启动项、temp临时异常文件、浏览器信息、文件属性、最近打开文件进行分析。


版权所有:山西药科职业学院数字信息中心   地址:太原市民航南路16号  邮编:030031