windows***取证

team470

　　转载  by nkever
　　1.记录当前时间
　　dos命令:dat /t & time /t
　　2.记录登录的用户session
　　dos 命令:net sessions
　　工具:Psloggedon.exe   Logonsessions.exe
　　3.记录打开的文件
　　dos 命令:net file
　　工具:psfile.exe  open?les.exe
　　其它:查看文件打开历史记录
　　4.网络信息(netbios cache)
　　dos命令:nbtstat -c
　　nbtstat -A remoteip
　　5.网络当前连接状态
　　dos命令:netstat -ano
　　6.当前进程状态
　　工具:进程管理器    tlist.exe(tlist -m xxx.dll)  tasklist.exe pslist.exe  listdll.exe  processhacker.exe  processexplorer.exe
　　关注点:进程内存模块  ，进程端口映射
　　7.网络
　　dos命令:ipconfig /all
　　8.剪贴板内容
　　找个word,直接粘贴
　　工具:Win32::Clipboard()->Get()
　　7.服务和驱动信息
　　工具:svc.exe
　　关注点:服务的异常,异常的驱动
　　8.dos命令历史记录
　　工具:doskey.exe  (doskey /history)
　　9.驱动器映射
　　工具:di.exe
　　10.共享
　　关注点:HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\lanmanserver\S
　　hares
　　net share
　　11.自动运行
　　启动文件夹
　　HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLL
　　HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows\load
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Userinit
　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce
　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\SetupHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\Setup
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　HKEY_LOCAL_MACHINE\Software\Classes\Exe?le\Shell\Open\command
　　特殊情况:服务劫持,异常服务,pe注入,DLL动持等等,部分内存***启动后删除自启动，需用到内存分析。
　　查看扩展劫持:ftype.exe  exefile
　　工具:autorun.exe
　　12.系统日志
　　工具:psloglist.exe  dumpevt.exe
　　13.浏览器历史记录,和浏览器配置（如自动完成功能被打开,代理等)
　　14.文件创建
　　利用windows搜索***期间的文件创建。
　　15.进程内存DUMP和DUMP文件分析
　　lspm.pl+bintext3.0
　　建议直接用processhacker.exe
　　16.注册表分析点
　　HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution
　　Options
　　HKEY_LOCAL_MACHINE\System\CurrentControlSet\Enum\USBSTOR
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceClasses
　　HKEY_LOCAL_MACHINE\System\MountedDevices
　　Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs
　　\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU
　　\Software\Microsoft\Internet Explorer\TypedURLs
　　\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU
　　Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts
　　Software\Microsoft\Search Assistant\ACMru
　　Software\Microsoft\Windows\CurrentVersion\Explorer\Map Network Drive MRU
　　Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
　　Software\Microsoft\Windows\CurrentVersion\Explorer\ComputerDescription
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\
　　SystemRestore
　　16.系统安全日志
　　工具:Vista Event Viewer
　　HKEY_LOCAL_MACHINE\System\ControlSet00x\Services\EventLog\
　　dos命令:wevtutil el(查看记录的日志 wevtutil gl logname)
　　17.IISLOG 或 ApacheLog
　　iislog:W3SVCn,
　　apachelog:http.conf中定义(LOGS目录)
　　18.软件安装日志
　　Setuplog.txt   Setupact.log    SetupAPI.log  Netsetup.log
　　19.计划任务日志
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SchedulingAgent
　　20.XP Firewall Logs
　　21.华生医生日志
　　C:\Documents and Settings\All Users\Application Data\Microsoft\Dr Watson
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DrWatson
　　22.crash dump 文件
　　dump文件+BinText.exe
　　23.回收站
　　24.PE分析
　　bintext.exe 打开
　　PELOAD/PEVIEW 分析(关注,IAT表）
　　PEID 查壳
　　检查PE是否被BIND
　　其它:虚拟机动态调试（OD）
　　Dumpbin查看API调用等
　　25.rootkit
　　工具:icesword.exe  Helios
　　26.hostfile是否被改
　　driver/etc/hosts