Windows系统应急响应与入侵排查指南

一、启动项排查

1.1 开机自启项检查

Windows系统中恶意程序常通过开机自启动方式运行，需重点排查以下位置：

1. 开始菜单启动文件夹：

   C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
   

   检查是否存在陌生或可疑程序

2. 系统配置工具：

   • Windows 7及以下：运行msconfig查看启动项
   • Windows 10及以上：通过任务管理器查看启动项

1.2 注册表启动项

Windows启动项分为三类注册表位置：

1. 用户设置启动项：

   HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   

   • 删除不影响系统运行
   • 重点检查区域

2. 系统设置启动项：

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   

   • 多为第三方软件驱动程序
   • 删除需谨慎

3. 重要系统启动项：

   HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run
   

   • 不可随意删除
   • 会影响系统正常运行

二、文件系统排查

2.1 临时文件检查

1. 系统临时文件夹：

   C:\Windows\Temp
   

   • 检查解压工具等产生的临时文件
   • 可能包含攻击者遗留的文件

2. Recent文件夹：

   %UserProfile%\Recent
   

   • 包含最近使用文档的快捷方式
   • 可查看近期修改文件及日期

2.2 文件时间属性分析

• 检查文件的创建时间、修改时间、访问时间
• 可疑迹象：
  • 修改时间早于创建时间
  • 近期被Webshell工具(如菜刀、蚁剑)修改的文件

2.3 文件校验与对比

1. MD5校验：

   certutil -hashfile 文件名 MD5
   

   • 对比官方提供的MD5值
   • 识别被篡改文件

2. 文件对比工具：

   • 使用专业工具对比原始文件与可疑文件
   • 可定位具体差异代码片段

三、账户与权限排查

3.1 账户安全检查

1. 弱口令修改：

   • 立即修改发现的弱密码账户

2. 可疑账户处理：

   • 禁用发现的异常账户和新增账户
   • 通过控制面板→用户账户工具管理

3. 隐藏账户检测：

   • 使用D盾_web工具检测克隆账号或隐藏账号
   • 检查各用户登录时间和用户名是否异常

四、计划任务排查

4.1 计划任务检查

1. 访问路径：

   控制面板→管理工具→任务计划程序
   

2. 检查要点：

   • 查看所有计划任务(包括运行中和准备就绪的)
   • 重点关注"操作"栏中的执行程序
   • 检查有无危险命令和可疑软件
   • 特别注意触发器为"当用户登录时"的任务

五、网络与进程排查

5.1 异常端口检查

1. 查看开放端口：

   netstat -ano
   

   • 检查异常端口连接情况
   • 特别关注不常见端口(如901、903)

2. 进程关联：

   • 通过PID查找对应进程
   • 确认进程的合法性

5.2 进程检查方法

1. 系统工具：

   • 运行msinfo32查看系统信息
   • 任务管理器查看进程列表

2. 专业工具：

   • 使用D盾的web查杀工具
   • 重点关注无签名信息的进程

六、Windows日志分析

6.1 日志文件位置

1. 旧系统：

   C:\WINDOWS\system32\config\SysEvent.Evt
   

2. Vista/Win7/Win8/Win10/Server：

   C:\WINDOWS\system32\winevt\Logs\System.evtx
   

6.2 事件日志类型

6.3 重要事件ID

6.4 登录类型

Windows日志中会标记登录类型，不同数字代表不同登录方式，需特别关注异常登录类型。

6.5 日志分析工具

• 使用Windows自带"事件查看器"
• 支持按多种条件筛选：
  • 时间范围
  • 事件级别
  • 日志类型
  • 事件来源
  • 事件ID
  • 任务类别
  • 关键字
  • 用户

七、浏览器信息检查

7.1 浏览器记录检查

1. 历史记录：

   • Chrome: chrome://history/
   • 查看黑客可能进行的下载操作

2. 恢复删除记录：

   • 通过Google账号同步查看(如果已登录)
   • 使用数据恢复软件恢复"History"文件

3. 下载记录：

   • 检查可疑文件下载
   • 可使用在线恶意程序检测工具分析

7.2 其他浏览器

• Firefox、Edge等浏览器也有类似的历史记录和下载记录功能
• 检查路径可能有所不同

八、排查工具推荐

1. 系统自带工具：

   • 事件查看器
   • 任务管理器
   • MSConfig
   • certutil(MD5校验)

2. 第三方工具：

   • D盾_web查杀工具
   • 专业文件对比工具
   • 数据恢复软件

九、应急响应流程总结

1. 立即响应：

   • 禁用可疑账户
   • 隔离受影响系统

2. 全面排查：

   • 启动项
   • 进程与端口
   • 计划任务
   • 文件系统
   • 日志分析

3. 证据收集：

   • 保存日志文件
   • 记录可疑文件哈希
   • 截图异常现象

4. 恢复与加固：

   • 清除恶意程序
   • 修补漏洞
   • 修改弱密码
   • 更新系统补丁

5. 后续监控：

   • 加强日志监控
   • 设置告警机制
   • 定期安全检查

本指南涵盖了Windows系统应急响应的主要方面，实际应用中需根据具体情况灵活调整排查顺序和重点。