前言
打算梳理两篇应急响应的文章，就先从windows开始，希望能帮到需要的朋友。
由于篇幅有限，有些东西不会细讲，有需要的话会单独出文章。本文如有不对欢迎指出。
Windows应急响应
常见的入侵：
web应用入侵：网页挂马、主页篡改、Webshell
应急排查思路：对web中间件日志进行分析,web应用日志分析
操作系统入侵：病毒木马、勒索软件、远控后门
应急排查思路：计划任务，日志分析，进程进行分析，流量分析
入侵排查
查看服务器是否存在可疑账号
检查方法：
1打开 cmd 窗口，输入lusrmgr.msc命令，查看是否有新增/可疑的账号，如有管理员群组的（Administrators）里的新增账户，如有，请立即禁用或删除掉。
2.查看是否存在隐藏账号（用户名以$结尾的为隐藏用户，如：safe6$）。在cmd用net user命令是看不到的。
查看服务器是否存在克隆账号。
检查方法：
a、打开注册表 ，查看管理员对应键值。
b、使用D盾查杀工具，集成了对克隆账号检测的功能
查看服务器是否有弱口令
自查，不用多说
系统日志排查
windows的事件查看器导出用Log Parser Studio工具进行排查分析。
检查异常端口、进程
检查端口连接情况，是否有远程连接、可疑连接。
检查方法：
a、查看目前的网络连接，定位可疑的连接
netstat -ano
b、根据netstat 定位出的pid，再通过tasklist命令进行进程定位
tasklist | findstr “PID”
进程排查
检查方法：
a、开始--运行--输入msinfo32，依次点击“软件环境→正在运行任务”就可以查看到进程的详细信息，比如进程路径、进程ID、文件创建日期、启动时间等。
b、打开D盾_web查杀工具，进程查看，关注没有签名信息的进程。
c、查看可疑的进程及其子进程。可以通过观察以下内容：
没有签名验证信息的进程
没有描述信息的进程
进程的属主
进程的路径是否合法
CPU或内存资源占用长时间过高的进程
计划任务排查
通过命令查看计划任务
schtasks /delete /tn xxxTask
删除计划任务
schtasks /delete /tn xxxTask
删除对应计划任务文件夹(定位定时任务具体执行的程序)
存放计划任务的文件
-
C:\Windows\System32\Tasks\
-
C:\Windows\SysWOW64\Tasks\
-
C:\Windows\tasks\
-
*.job（指文件）
排查自启动项
通过借助工具autoruns进行查看，主要检查开机自启动以及一些系统服务（计划任务也可以排查）。
查看可疑目录及文件
a查看 host文件 ：
type %systemroot%\\System32\\drivers\\etc\\hosts
b分析最近打开文件
Recent是系统文件夹，里面存放着你最近使用的文档的快捷方式，查看用户recent相关文件，通过分析最近打开分析可疑文件：
单击【开始】>【运行】，输入%UserProfile%\Recent，分析最近打开分析可疑文件。
c.tmp相关目录下查看有无异常文件 ：Windows产生的临时文件
d.使用d盾对web程序部署路径查杀
e.使用杀毒软件全盘扫描
中间件日志和应用程序日志分析
注：重点分析是否上传webshell，sql注入，命令执行等操作
关注日志文件
tomcat：安装目录下logs文件夹
localhost_access_log.2020-06-01.txt
apache：安装目录下logs文件夹 access.log
nginx：安装目录下logs文件夹host.access.log
Windows Server 2003 iis6日志路径：C:\Windows\System32\LogFiles
Windows Server 2008 R2、2012、2016、2019 iis7以上日志路径：C:\inetpub\logs\LogFiles
具体web应用日志，看具体配置存放的位置。
系统工具替换后门排查
1系统工具替换后门(替换系统的自带程序，如放大镜，粘滞键，旁白)
检查下面的程序是否被替换(md5比对)
粘滞键：C:\Windows\System32\Sethc.exe
屏幕键盘： C:\Windows\System32\osk.exe
放大镜： C:\Windows\System32\Magnify.exe
旁白： C:\Windows\System32\Narrator.exe
显示切换器： C:\Windows\System32\DisplaySwitch.exe
应用切换器： C:\Windows\System32\AtBroker.exe
镜像劫持
比如打开qq会出现打开cmd
利用autoruns工具排查
waitfor.exe后门
通过Process Explorer工具查看是否有waitfor.exe进程，并进一步查看启动参数等。
bitsadmin后门
Bitsadmin从win7之后操作系统就默认包含，可以用来创建上传或者下载任务。Bistadmin可以指定下载成功之后要进行什么命令。后门就是利用的下载成功之后进行命令执行。
排查命令
bitsadmin /list /verbose
WMI后门
使用工具autoruns排查
进程注入排查
利用工具process explorer 、process monitor，较难排查。
