windows应急响应笔记

netstat -ano   #查看所有网络连接及其PIDnetstat -ano | findstr 443  #过滤特定端口的网络连接netstat -ano | findstr TCP  #过滤TCP连接

tasklist /svctasklist /svc | findstr 111 #查看PID为111的进程taskkill /PID 111 -F -T    #强制结束进程

wmic process get name,executablepath,processid | findstr 87948

net user #查看用户信息，但不能查看隐藏用户net user Guest #查看用户的具体信息，如查看Guest的启用情况net user xxx /del  #删除可以用户

regedit -- 》计算机HKEY_LOCAL_MACHINESAMSAMDomainsAccountUsers

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionrunHKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunHKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunonce

at xxx /deleteschtasks /delete /tn xxx

https://i.hacking8.com/tiquan

NT/Win2000/XP/Server 2003C:WINDOWSsystem32configSysEvent.EvtVista/Win7/Win8//Win10/Server 2008/Server 2012C:WINDOWSsystem32winevtLogsSystem.evtx

基本查询结构Logparser.exe –i:EVT –o:DATAGRID "SELECT * FROM c:xx.evtx"查询登录成功的所有事件LogParser.exe -i:EVT –o:DATAGRID  "SELECT *  FROM c:Security.evtx where EventID=4624"查询登录失败的所有事件LogParser.exe -i:EVT –o:DATAGRID  "SELECT *  FROM c:Security.evtx where EventID=4625"查询系统历史开关机记录LogParser.exe -i:EVT –o:DATAGRID "SELECT TimeGenerated,EventID,Message FROM c:System.evtx where EventID=6005 or EventID=6006"

PCHunter：http://www.xuetr.com火绒剑：https://www.huorong.cnProcess Explorer：https://docs.microsoft.com/zh-cn/sysinternals/downloads/process-explorerprocesshacker：https://processhacker.sourceforge.io/downloads.phpautoruns：https://docs.microsoft.com/en-us/sysinternals/downloads/autorunsOTL：https://www.bleepingcomputer.com/download/otl/

卡巴斯基（推荐理由：绿色版、最新病毒库）：http://devbuilds.kaspersky-labs.com/devbuilds/KVRT/latest/full/KVRT.exe  大蜘蛛（推荐理由：扫描快、一次下载只能用1周，更新病毒库）：http://free.drweb.ru/download+cureit+free火绒安全软件：https://www.huorong.cn360杀毒：http://sd.360.cn/download_center.html

CVERC-国家计算机病毒应急处理中心：http://www.cverc.org.cn微步在线威胁情报社区：https://x.threatbook.cn火绒安全论坛：http://bbs.huorong.cn/forum-59-1.html爱毒霸社区：http://bbs.duba.net腾讯电脑管家：http://bbs.guanjia.qq.com/forum-2-1.html

多引擎在线病毒扫描网 v1.02，当前支持 41 款杀毒引擎：http://www.virscan.org        腾讯哈勃分析系统:https://habo.qq.com          Jotti 恶意软件扫描系统:https://virusscan.jotti.org      针对计算机病毒、手机病毒、可疑文件等进行检测分析:http://www.scanvir.com

D盾_Web查杀：http://www.d99net.net/index.asp河马 webshell 查杀：http://www.shellpub.com深信服 Webshell 网站后门检测工具：http://edr.sangfor.com.cn/backdoor_detection.htmlSafe3：http://www.uusec.com/webshell.zip

https://mp.weixin.qq.com/s?__biz=Mzg2NDYwMDA1NA==&mid=2247511941&idx=2&sn=b0b4c1b035dd33d5317ea405eccdf69dhttps://mp.weixin.qq.com/s?__biz=Mzg2NzUzNzk1Mw==&mid=2247490546&idx=2&sn=3a37e56508d92b913f08c94888f5e652https://mp.weixin.qq.com/s?__biz=MzAxMjE3ODU3MQ==&mid=2650528712&idx=2&sn=9f6c916357f6b906ef43deb19037f753