一. 账户安全
query user 查看当前登录账户
logoff ID 注销用户id
net user 查看用户
net user username 查看用户登录情况
lusrmgr.msc 打开本地用户组
HKEY_LOCAL_MACHINESAMSAMDomainsUsers\ regedit注册表查看账户，确认系统是否存在隐藏账户
利用LogParser查看日志
LogParser.exe -i:EVT "SELECT TimeGenerated,EXTRACT_TOKEN(Strings,5,'|') AS USERNAME,EXTRACT_TOKEN(Strings,5,'|') AS SERVICE_NAME,EXTRACT_TOKEN(Strings,5,'|') AS Client_IP FROM 'C:Userswp_bj_windowsDesktop安全.evtx' WHERE EventID=4624"
LogParser.exe -i:EVT –o:DATAGRID "SELECT * FROM 'C:Userswp_bj_windowsDesktop安全.evtx' where EventID=4624"
二. 检查异常端口进程
netstat -ano
netstat -ano | findstr "ESTABLISHED" #已经成功建立的连接
Wmic process where name='sqlceip.exe' getname,Caption,executablepath,CommandLine ,processid,ParentProcessId /value
Wmic process where processid='2352' get name,Caption,executablepath,CommandLine ,processid,ParentProcessId /value
三. 启动项
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunHKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunonce
系统定时任务
schtasks | more
任务清单
C:WindowsSystem32Tasks 
删除任务计划
五. 系统服务
services.msc
sc stop [服务名称]停止服务后，sc delete [服务名称]删除服务六. 文件
%UserProfile%Recent
热文推荐
觉得不错点个“赞”、“在看”
原文始发于微信公众号（LemonSec）：Windows -- 应急响应
特别标注:
本站(CN-SEC.COM)所有文章仅供技术研究，若将其信息做其他用途，由用户承担全部法律及连带责任，本站不承担任何法律及连带责任，请遵守中华人民共和国安全法.
- 我的微信
- 微信扫一扫
-
- 我的微信公众号
- 微信扫一扫
-
评论