应急响应-Windows 系统排查相关技术-Oyst3r 's Blog

Windows 系统的基本信息

在基础排查的时候可以用命令msinfo32.exe来打开 microfost 系统信息工具查询系统的一个基本的信息，其中主要看的就是其中的软件环境这一个板块，这个就是将在黑框框里面的 systeminfo、set 等指令输出的结果做了一个整合，而且还有这种搜索的功能，所以 Windows 既然有这样好用的图形化界面，那我们用就行了，不用再输什么命令之类的（这个的话最好去用管理员去运行，不然的就像下图一样都是显示没有资料）

排查网络连接

查看端口以及所对应的相关信息

netstat -ano

对状态做个小解释：

CLOSED：初始（无连接）状态
LISTENING：侦听状态，等待远程机器的连接请求
SYN_SEND：在TCP三次握手期间，主动连接端发送了SYN包后，进入SYN_SEND状态，等待对方的ACK（SYN：synchronous 同步，ACK：acknowledgement 确认）
SYN_RECV：在TCP三次握手期间，主动连接端收到SYN包后，进入SYN_RECV状态（RECV：receiver 收到）
ESTABLISHED（建立）：完成TCP三次握手后，主动连接端进入ESTABLISHED状态。此时，TCP连接已经建立，可以进行通信

主动连接端可能的状态有：CLOSED        SYN_SEND        ESTABLISHED
被动连接端可能的状态有：LISTEN        SYN_RECV        ESTABLISHED

netstat -anob

这条命令的话要以管理员权限去运行 cmd 才可以，可以直接获取到服务所对应的程序

查看指定的端口并获取 pid

**netstat -ano findstr “49668”**

根据进程号去对应程序

tasklist去查看所有的进程，然后用**tasklist findstr “3084”**去查看对应的程序

tasklist /svc去显示所有的进程以及 pid 和服务

查看指定进程 PID 的详细信息

用tasklist /svc /fi “PID eq 13960”

加载 dll 的恶意进程

可输入tasklist /m去查看 exe 加载的 dll

同样的去查看 dll 调用了那些程序可以这么去查tasklist /m ntdll.dll

利用系统文件启动去执行木马

操作系统中的启动菜单C:\Users\Administrator\AppData\Roaming\Microsoft\windows\start Menu\Programs\startup（这个很容易就能看出来）

系统配置msconfig，然后添加新的启动项就行
注册表启动

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices

一些介绍：