windows应急响应#

1 应急响应概念#

1
企业系统遭到病毒传播、网络攻击、黑客入侵等安全事件造成信息业务中断、系统宕机、企业声誉受损等影响，急需第一时间进行处理，让企业的系统能够最快恢复工作

2 入侵排查过程#

1
报告 -> 检查系统账号安全 -> 检查异常端口、进程 -> 检查启动项、计划任务、服务 -> 检查系统相关信息 -> 自动化查杀 -> 日志分析

2.1 常见应急响应事件分类#

1
web入侵：网页挂马、主页篡改（黑页）、Webshell
2
系统入侵：病毒木马、勒索软件、远控后门
3
网络攻击：DDOS攻击、DNS劫持、ARP欺骗
4
 DOS攻击：单挑
5
 DDOS攻击：群殴

2.2 检查系统账号安全#

1
1、查看服务器是否由弱口令，远程管理端口是否对公网开放。
2
检查方法：据实际情况咨询相关服务器管理员
3

4
2、查看服务器是否存在可疑账号、新增账号。
5
检查方法：打开本地用户和组(lusrmgr.msc)，查看是否有新增/可疑的账号。
6

7
3、查看服务器是否存在隐藏账户、影子账号。
8
检查方法：
9
a、打开注册表，查看管理员对应键值
10
b、使用工具，D盾查杀
11

12
4、结合日志，查看管理员登录时间、用户名是否存在异常。
13
检查方法：
14
a、打开事件查看器(eventvwr.msc)
15
 根据事件ID筛选内容进行排查
16
 **4624**：‌成功登录事件，‌表示用户成功登录系统。‌
17
 **4625**：‌登录失败事件，‌表示用户尝试但未能成功登录系统。‌
18
 **4634**：‌注销事件，‌表示用户注销系统。‌
19
 **4647**：‌用户注销事件，‌表示用户通过重新启动或关闭计算机来注销系统。‌
20
 **4720**：‌创建用户事件，‌表示新用户帐户已创建。‌
21
 **4722**：‌启用用户帐户事件，‌表示禁用的用户帐户已被启用。‌
22
 **4723**：‌更改用户密码事件，‌表示用户密码已更改。‌
23
 **4724**：‌创建安全组事件，‌表示新安全组已创建。‌
24
 **4728**：‌成功授权事件，‌表示用户获得了指定对象的权限。‌
25
 **4738**：‌设置用户密码事件，‌表示用户密码已更改或重置。‌
26

27
b、导出Windows日志-安全，利用Log Parser进行分析。
28

29
Logparser使用
30

31
1、基本查询结构
32
Logparser.exe –i:EVT –o:DATAGRID "SELECT * FROM c:\xx.evtx"
33

34
2、查询登录成功的事件
35
a、登录成功的所有事件：
36
LogParser.exe -i:EVT –o:DATAGRID "SELECT * FROM c:\Security.evtx where EventID=4624"
37
b、指定登录时间范围的事件：
38
LogParser.exe -i:EVT –o:DATAGRID "SELECT * FROM c:\Security.evtx where TimeGenerated > '2018-06-19 23:32:11' and TimeGenerated < '2018-06-20 23:34:00' and EventID=4624"
39
c、提取登录成功的用户名和IP：
40
LogParser.exe -i:EVT –o:DATAGRID "SELECT EXTRACT_TOKEN(Message,13,' ') as EventType,TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,'|') as Username,EXTRACT_TOKEN(Message,38,' ') as Loginip FROM 1.evtx where EventID=4624"
41

42
3、查询登录失败的事件
43
a、登录失败的所有事件：
44
LogParser.exe -i:EVT –o:DATAGRID "SELECT * FROM c:\Security.evtx where EventID=4625"
45
b、提取登录失败用户名进行聚合统计：
46
LogParser.exe -i:EVT "SELECT EXTRACT_TOKEN(Message,13,' ') as EventType,EXTRACT_TOKEN(Message,19,' ') as user,count(EXTRACT_TOKEN(Message,19,' ')) as Times,EXTRACT_TOKEN(Message,39,' ') as Loginip FROM c:\Security.evtx where EventID=4625 GROUP BY Message"
47

48
4、系统历史开关机记录：
49
LogParser.exe -i:EVT –o:DATAGRID "SELECT TimeGenerated,EventID,Message FROM c:\System.evtx where EventID=6005 or EventID=6006"

2.3 检查异常端口、进程#

1
1、检查端口连接情况，是否有远程连接、可疑连接。
2
检查方法：
3
a、netstat –ano 查看目前的网络连接，定位可疑的ESTABLISHED
4
b、根据netstat 定位出的pid，再通过tasklist命令进行进程定位
5
tasklist /fi "PID eq 12852"
6

7
2、进程
8
检查方法：
9
a、开始-运行-键入 msinfo32，依次点击“软件环境-正在运行任务”就可以查看到进程的详细信息，比如进程路径、进程ID、文件创建日期、启动时间等。
10
b、打开D盾_web查杀工具，进程查看，关注没有签名信息的进程。
11
c、通过微软官方提供的 Process Explorer 等工具进行排查。
12
d、查看可疑的进程及子进程。
13

14
3、小技巧：
15
a、查看端口对应的PID：netstat -ano | findstr "port"
16
b、查看PID对应的进程：tasklist /fi "PID eq pid"
17
c、查看进程对应的程序位置：
18
任务管理器-选择对应进程-右键打开文件位置
19
运行键入wmic，命令 process
20
d、查看Windows服务所对应的端口：
21
运行键入drivers-进入etc文件-打开services文件

2.4 检查启动项、计划任务、服务#

1
1、检查服务器是否有异常的启动项。
2
检查方法：
3
a、登录服务器，任务管理器-启动
4
b、运行键入 msconfig –启动
5
c、运行键入 regedit 打开注册表，查看开机启动项是否正常，特别注意如下注册
6
表项：
7
HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run
8
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
9
d、利用安全软件查看启动项、开机时间管理等
10
e、组策略，运行 gpedit.msc
11

12
2、检查计划任务
13
检查方法：
14
a、win 搜索任务计划程序 或 右键此电脑-管理，查看计划任务属性，便可以发现木马文件的路径。
15
b、cmd中输入命令 at 检查计算机与网络上的其他计算机之间的会话或计划任务，如有，则确认是否为正常连接。
16
3、服务自启动
17
检查方法：
18
运行键入 services.msc，注意服务状态和启动类型，检查是否有异常服务。

2.5 检查系统相关信息#

1
1、查看系统版本以及补丁信息
2
检查方法：cmd中命令 systeminfo，查看系统信息。
3

4
2、查找可以目录及文件
5
检查方法：
6
a、查看用户目录，新建账号会在这个目录生成一个用户目录，查看是否有新建用户目录。
7
windows 2003 C:\Documents and Settings
8
windows 2008 R2 C:\User\
9
b、运行键入 recent，分析最近打开分析可疑文件
10
c、在服务器目录，可根据文件夹内文件列表时间进行排序，查找可疑文件
11
d、回收站、浏览器下载目录、浏览器历史记录
12
e、修改时间在创建时间之前的为可疑文件
13

14
3、得到发现WEBSHELL、远控木马的创建时间，如何找出同一时间范围内创建的文件？
15
a、利用 Registry Workshop 注册表编辑器的搜索功能，可以找到最后写入时间区间的文件。
16
b、利用计算机自带文件搜索功能，指定修改时间进行搜索。

2.6 自动化查杀#

1
1、病毒查杀
2
检查方法:下载安全软件，更新最新病毒库，进行全盘扫描。
3
2、webshell查杀
4
检查方法:选择具体站点路径进行webshell查杀，建议使用两款webshell查杀工具同时查杀，可相互补充规则库的不足。

2.7 日志分析#

1
1、系统日志
2
分析方法：
3
a、前提：开启审核策略，若日后系统出现故障、安全事故则可以查看系统的日志文件，排除故障，追查入侵者的信息等。
4
b、运行键入eventvwr.msc，打开事件查看器。
5
c、导出应用程序日志、安全日志、系统日志，利用 Log Parser 进行分
6
析。
7

8
Log Parser Lizard
9
对于GUI环境的Log Parser Lizard，其特点是比较易于使用，甚至不需要记忆
10
繁琐的命令，只需要做好设置，写好基本的SQL语句，就可以直观的得到结
11
果。
12
下载地址：http://www.lizard-labs.com/log_parser_lizard.aspx
13
依赖包：Microsoft .NET Framework 4.5，下载地址：
14
https://www.microsoft.com/zh-cn/download/details.aspx?id=30653
15
Event Log Explorer
16
Event Log Explorer是一款非常好用的Windows日志分析工具。可用于查看、
17
监视和分析跟事件记录，包括安全，系统，应用程序和其他微软Windows的
18
记录被记载的事件，其强大的过滤功能可以快速的过滤出有价值的信息。
19
下载地址：https://event-log-explorer.en.softonic.com/
20

21
2、WEB访问日志
22
分析方法：
23
a、找到中间件的web日志，打包到本地方便进行分析。
24
b、推荐工具：Windows下，推荐使用 EmEditor 进行日志分析，支持大文本，搜索效率还不错。Linux下，使用Shell命令组合查看分析。

2.8 工具使用#

1
1、病毒分析
2
PCHunter（已经收费）： http://www.xuetr.com/
3
火绒剑： https://www.huorong.cn/
4
Process Explorer：
5
https://docs.microsoft.com/en-us/sysinternals/downloads/process-explorer
6
processhacker： https://processhacker.sourceforge.io/downloads.php
7
autoruns： https://docs.microsoft.com/zh-cn/sysinternals/downloads/autoruns
8

9
2、病毒查杀
10
卡巴斯基： http://devbuilds.kaspersky-labs.com/devbuilds/kvrt/latest/full/kvrt.exe
11
（推荐理由：绿色版、最新病毒库）
12
大蜘蛛： https://free.drweb.ru/download+cureit+free
13
（推荐理由：扫描快、一次下载只能用1周，更新病毒库）
14
火绒安全软件：https://www.huorong.cn
15
360杀毒：http://sd.360.cn/download_center.html
16

17
3、病毒动态
18
CVERC-国家计算机病毒应急处理中心：https://www.cverc.org.cn/
19
微步在线X情报社区：https://x.threatbook.cn/
20
火绒安全论坛：https://bbs.huorong.cn/
21
爱毒霸社区：http://bbs.duba.net
22
腾讯电脑管家：http://bbs.guanjia.qq.com/
23

24
4、在线病毒扫描网站
25
virscan：http://www.virscan.org
26
腾讯哈勃分析系统：https://habo.qq.com
27
Jotti恶意软件扫描系统：https://virusscan.jotti.org
28
针对计算机病毒、手机病毒、可疑文件等进行检测分析：
29
http://www.scanvir.com
30

31
5、webshell查杀
32
D盾_Web查杀：
33
http://www.d99net.net
34
河马webshell查杀（有可能查不到）：
35
http://www.shellpub.com
36
深信服Webshell网站后面检测工具：
37
http://edr.sangfor.com.cn/backdoor_detection.html
38
Safe3:
39
http://www.uusec.com/webshell.zip

2.9 后门查杀#

1
1、文件md5校验
2
下载D盾_Web查杀工具的时候，我们可以留意到下载的压缩包里，除了有一个exe可执行文件，还有一个文件md5值。
3
这个是软件作者在发布软件时，通过md5算法计算出该exe文件的“特征值”。
4
下载地址：http://www.d99net.net/down/WebShellKill_V2.0.9.zip
5
文件MD5：29285decadbce3918a4f8429ec33df46
6
当用户下载软件时，可以使用相同的校验算法计算下载到exe文件的特征值，并与
7
软件开发者发布的特征值比较。如果两个特征值相同，则认为下载到的exe文件是
8
正确的。如果两个特征值不同，则认为下载到exe文件是被篡改过的。
9
C:\Users\Administrator>certutil -hashfile Desktop\zq.jpg md5

2.10 勒索自救指南#

1
在勒索病毒搜索引擎输入病毒名、勒索邮箱、被加密后文件的后缀名，或直
2
接被上传被加密的文件、勒索提示信息，即可快速查找到病毒详情和解密工
3
具。
4
【360】勒索病毒搜索引擎，支持检索超过800中常见勒索病毒
5
http://lesuobingdu.360.cn
6
【腾讯】勒索病毒搜索引擎，支持检索超过300中常见勒索病毒
7
https://guanjia.qq.com/pr/ls/
8
【启明】VenusEye勒索病毒搜索引擎，超300中勒索病毒家族
9
https://lesuo.venuseye.com.cn/
10
【奇安信】勒索病毒搜索引擎
11
https://lesuobingdu.qianxin.com/
12

13
勒索软件解密工具集
14
很多安全公司都提供了免费的勒索病毒解密工具下载，收集和整理相关下载
15
地址，可以帮助我们了解和获取最新的勒索病毒解密工具。
16
【Github项目】勒索病毒解密工具收集汇总
17
https://github.com/jiansiting/Decryption-Tools
18
【卡巴斯基】免费勒索解密器
19
https://noransom.kaspersky.com/
20
【火绒】安全工具下载
21
https://bbs.huorong.cn/forum-55-1.html
22
【腾讯哈勃】勒索软件专杀工具
23
https://habo.qq.com/tool/index