windows应急响应
查看启动项
windows运行命令打开启动项查看
msconfig
利用注册表查看启动项
计算机HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
查看windows日志
#打开日志管理器
eventvwr
然后利用事件ID去排查相关的操作行为
| 事件ID | 说明 |
|---|---|
| 1102 | 清理审计日志 |
| 4624 | 账号成功登录 |
| 4625 | 账号登录失败 |
| 4672 | 授予特殊权限 |
| 4720 | 创建用户 |
| 4726 | 删除用户 |
| 4728 | 将成员添加到启用安全的全局组中 |
| 4729 | 将成员从安全的全局组中移除 |
| 4732 | 将成员添加到启用安全的本地组中 |
| 4733 | 将成员从启用安全的本地组中移除 |
| 4756 | 将成员添加到启用安全的通用组中 |
| 4757 | 将成员从启用安全的通用组中移除 |
| 4719 | 系统审计策略修改 |
| 4768 | Kerberos身份验证（TGT请求） |
| 4769 | Kerberos服务票证请求 |
| 4776 | NTLM身份验证 |
登录类型：
| 登陆类型 | 说明 | 测试 | 是否会记录登陆IP地址 |
|---|---|---|---|
| Logon type 2 Interactive | 本地交互登录。最常见的登录方式。 | 用户关机本地登陆，登陆会触发此登陆类型日志 | 记录127.0.0.1本地IP地址 |
| Logon type 3 Network | 网络登录 - 最常见的是访问网络共享文件夹或打印机。IIS的认证也是Type 3 | hydra对445端口(smb)爆破会触发此登陆类型系统日志 IPC$爆破会触发此类登陆类型系统日志 | hydra会记录IP地址与登陆用户 IPC$不会记录登录用户 |
| Logon type 4 Batch 计划任务 | |||
| Logon Type 10 RemoteInteractive | RemoteInteractive 远程登录 -- 比如Terminal service或者RDP方式。但是Windows 2000是没有Type10的，用Type 2。WindowsXP/2003起有Type 10 | RDP爆破登陆会触发此登陆类型系统日志 mstsc远程登陆会触发此登陆类型系统日志 | 会记录IP地址与登陆用户 |
| Logon Type 7 Unlock | 解除屏幕锁定 |
文件排查
运行输入
#临时文件
%temp%
#最近打开的文件
%UserProfile%Recent
进程分析
#网络状态排查
netstat -ano
#进程排查
tasklist /svc
#PID定位
tasklist | find "pid"
wmic process get name,executablepath,processid | find 进程pid
wmic process where name="powershell.exe"
windows服务项排查
#运行命令打开windows服务
services.msc
主要查看服务属性
windows计划任务
#windows xp/7/..
at
#windows10
schtasks
打开计算机管理，排查计划任务
程序替换（shift后门）
在系统登录界面，连按5次shift触发粘贴键功能，所以将其替换为cmd.exe，替换之后登录界面连按5次shift将直接唤醒cmd命令框
常见的是替换Shift程序为cmd程序，连续按五下Shift键触发
文件路径：C:WINDOWSsystem32sethc.exe
实现：将C:WINDOWSsystem32底下的sethc.exe换成cmd.exe即可
账号排查
#运行命令
lusrmgr.msc
利用注册表查询
#注册表地址
HKEY_LOCAL_MACHINESAMSAMDomainsaccountUsersNames
#命令行查询
reg query HKEY_LOCAL_MACHINESAMSAMDomainsAccountUsersNames
有些时候在SAM下面没有内容，这是因为没有权限进行查看，这时需要定位到
HKEY_LOCAL_MACHINESAMSAM
右键权限 完全控制
然后重新进行查询