Windows主机入*侵分析思路

一、如何找到恶意文件

• 检查网络连接  netstat -ano，如有恶意对外连接需要注意哦，特别是挖矿、对外暴力破解。
  
• 根据PID找到进程
  

　　tasklist | findstr "$PID"  或  wmic process get name,executablepath,processid | findstr $PID
　　$PID为可以进程的PID号

• 找到恶意文件
  

　　（1）利用任务管理器和CMD命令行手工找恶意文件

• 任务管理器 taskmgr
  
• 服务    services.msc
  

　　（2）进程分析神器PC Hunter (www.xuetr.com )     没有发布方签名的、名字/路径异常的都可能是可以进程
　　（3）进程分析神器Process Explore    https://technet.microsoft.com/en-us/sysinternals/bb896653/
　　（4）简单粗暴：360安全卫士***全盘查杀
　　关于PC Hunter和Process Explore，我会在其他篇章中具体介绍。

• 找到可以文件后将其上传到***鉴别网站
  
  
  
  • 微步在线：https://x.threatbook.cn/
    
  • virustotal：www.virustotal.com
    
  
  

二、日志分析
　　1.windows自带日志管理器：eventvwr
　　2.日志分析神器splunk

• 查找关键时间点是否存在爆破登录记录
  
• 是否存在异地异常成功登录记录
  
• 确认远程登录账户是否存在弱口令
  

　　Event>
　　Event>
　　Event>　　关于windows登录成功的日志和借助Splunk分析将会在其他篇章中介绍。
三、其他辅助手段
　　1.查看用户  net user
　　2.检测否是弱密码   https://password.kaspersky.com/
　　3.性能监视器 perfmon.msc
　　4.资源监视器 resmon.exe
　　5.注册表   regedit.exe
　　6.组策略   gpedit.msc
　　7.Wndows更新检查

• 2008：控制面板\所有控制面板项\Windows Update
  
• 2012：控制面板\所有控制面板项\Windows 更新\查看更新历史记录"
  

　　8.查看计划任务
　　a) Windows server 2008 运行at
　　b) Windows server 2012 运行schtasks.exe
　　9.云服务商一般都会提供态势感知服务，借助IDS/WAF/安全防护日志辅助分析