实战学习应急响应之Windows日志分析(附镜像)

镜像下载地址：百度网盘: https://pan.baidu.com/s/1AR8nQaTFxhzvxONmLKQ0qQ    提取码：52zd 夸克网盘：https://pan.quark.cn/s/29851fc7aceb   提取码：8JeP天翼网盘: https://cloud.189.cn/t/jQJbeu6ZBBzq （访问码：il8x）(不限速)

系统: Windows 7CPU: 2颗内存: 2G空间: 保证不低于5G其它傀儡机: 段内账号/密码: winlog/winlog123注意: 远控软件内IP为虚拟IP，如在进行进程中没有找到相关外连，应该是由于连接超时造成的断开了，重启环境服务器或软件即可继续对外发起请求，请见谅注意: 按照题目提示可以根据系统功能分析，或桌面工具进行辅助分析注意: winlog用户在操作关于系统权限功能时，一定要使用管理员权限打开工具再去执行如: cmd直接打开则可能无法进行操作系统权限性操作，需右击cmd-使用管理员权限打开，才可以，其它工具也如此注意: 题目中shell如需在本地分析，提前关闭杀毒软件，会被杀掉，非免杀题目:   1. 审计桌面的logs日志，定位所有扫描IP，并提交扫描次数  2. 审计相关日志，提交rdp被爆破失败次数  3. 审计相关日志，提交成功登录rdp的远程IP地址，多个以&连接,以从小到大顺序排序提交  4. 提交黑客创建的隐藏账号  5. 提交黑客创建的影子账号  6. 黑客植入了一个远程shell，审计相关进程和自启动项提交该程序名字  7. 提交远程shell程序的连接IP+端口，以IP:port方式提交  8. 黑客使用了计划任务来定时执行某shell程序，提交此程序名字

awk '{print $1}' access.log | sort | uniq -c | sort

注册表地址：HKEY_LOCAL_MACHINESAMSAMDomainsAccountUsersNames

1. 根据外联IP地址进行排查，在情报平台进行查询2. 根据端口进行排查，通常大端口或有特殊意义端口要确认3. 依次根据PID进行排查，这个下面会讲到

1. C:UserswinlogAppDataRoamingMicrosoftWindowsStart MenuProgramsStartup  快捷命令：WIN+R shell:startup 将预自启动程序放入目录，会自启2. HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun  注册表自启动：快捷键：WIN+R regedit 将绝对路径下程序进行字符串值保存会开机自启3. 搜索计划任务，进入任务计划程序，查看相关启动程序

tasklist | findstr "2924"

wmic process get name,executablepath,processid | findstr 2856