Windows应急响应之命令行排查

Get-WinEvent -ListLog *

Get-WinEvent -FilterHashtable @{LogName='Security'}

Get-WinEvent -FilterHashtable @{LogName='Security';ID='4624'}

Get-WinEvent @{logname='Microsoft-Windows-PowerShell/Operational';starttime=[datetime]::today } -MaxEvents 10

Get-WinEvent -LogName Microsoft-Windows-PowerShell/Operational | Where-Object {$_.ID -eq "4100" -or $_.ID -eq "4104"}

$StartTime=Get-Date  -Year  2023  -Month  1  -Day  1  -Hour  00  -Minute  00$EndTime=Get-Date  -Year  2023  -Month  1  -Day  30  -Hour  23  -Minute  59Get-WinEvent -FilterHashtable @{LogName='System';StartTime=$StartTime;EndTime=$EndTime}

计算机HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionProfileList

query user

net user lenovo

net localgroup administrators

Get-LocalUser

C:WindowsSystem32driversetc

netstat -ano | findstr "172.24.16.1"

Get-NetTCPConnection

Get-NetTCPConnection -State Established

netsh advfirewall firewall show rule all

netsh advfirewall firewall show rule

netsh advfirewall firewall show rule name = "Apache HTTP Server"

netsh advfirewall firewall show rule name = "Apache HTTP Server" verbose

TASKLIST /?

tasklist | findstr "10004"

tasklist /m

tasklist /m uxtheme.dll

tasklist /fi "PID eq 9480"

wmic process where ProcessId=14000 get ParentProcessId  wmic process where Name="javaw.exe" get ParentProcessId

wmic process list full

wmic process get name,parentprocessid,processid

wmic process where name = "" call terminatewmic process where processid = "PID" delete

net start

tasklist /svc

schtasks.exe

Caption、Command、Description、Location、Name、SettingID、User、UserSID

Get-CimInstance Win32_StartupCommand | Select-Object Name, command, Location, User | Format-List

Get-SMBShare

%TEMP%：C:UserslenovoAppDataLocalTemp%UserProfile%Recent：C:UserslenovoRecent%WINDIR%：C:WINDOWS%LOCALAPPDATA%：C:UserslenovoAppDataLocal%APPDATA%：C:UserslenovoAppDataRoamingC:WINDOWSTemp%SystemBoot%appcompatProgramsamcache.hve:     C:WindowsappcompatProgramsamcache.hve 应用程序执行路径、上次执行时间%SystemBoot%Prefetch 预读取文件

变量  描述@file   返回匹配项的名称，双引号。@fname  返回匹配项的基名（没有文件扩展名），双引号。@ext    返回文件扩展名，双引号，没有前导点。如果文件有多个扩展名，则只返回最后一个。如果文件没有扩展名，则返回带引号的空字符串。@path   返回匹配项的完整路径，双引号，包括驱动器号和文件扩展名（如果有）。@relpath    返回匹配项的相对路径，双引号和相对于起始目录（由/ P给出）。每个路径以点和反斜杠（.）开头。@isdir  如果文件类型是目录，返回 TRUE，否则返回 FALSE。@fsize  返回用字节表示的文件大小@fdate  返回文件上次修改的日期，采用当前用户的本地化日期格式。@ftime  返回文件上次修改时间，采用当前用户的本地化时间格式

/D    date          选择文件，其上一次修改日期大于或等于 (+)，                    或者小于或等于 (-) 用 "yyyy/MM/dd" 格式指定的日期;                    或选择文件，其上一次修改日期大于或等于 (+)                    当前日期加 "dd" 天，或者小于或等于 (-) 当前                    日期减 "dd" 天。有效的 "dd" 天数可以是                    0 - 32768 范围内的任何数字。如果没有指定，                    "+" 被当作默认符号。FORFILES /P C:WINDOWS /S /M DNS*.*FORFILES /S /M *.txt /C "cmd /c type @file | more"FORFILES /P C: /S /M *.batFORFILES /D -30 /M *.exe         /C "cmd /c echo @path 0x09 在 30 前就被更改。"FORFILES /D 2001/01/01         /C "cmd /c echo @fname 在 2001年1月1日就是新的。"FORFILES /D +2024/12/13 /C "cmd /c echo @fname 今天是新的。"FORFILES /M *.exe /D +1FORFILES /S /M *.doc /C "cmd /c echo @fsize"FORFILES /M *.txt /C "cmd /c if @isdir==FALSE notepad.exe @file"