windows应急响应

1 应急响应概念

1
当企业发生黑客入侵、系统崩溃或其他影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。

2 入侵排查过程

2.1 常见应急响应事件分类

1
2
3
4
web入侵：网页挂马、主页篡改、Webshell
系统入侵：病毒木马、勒索软件、远控后门、系统异常、RDP爆破、SSH爆破、主机漏洞、数据库入侵等
网络攻击：DDOS攻击、DNS劫持、ARP欺骗
路由器/交换机异常：内网病毒，配置错误等
1
2
检查系统账号安全 → 检查异常端口、进程 → 检查启动项、计划任务、服务 → 检查系统相关信息 → 自动化查杀 → 日志分析
- 可以从哪些方面入手！！ --- 汇报

2.2 检查系统账号安全

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
1、查看服务器是否有弱口令，远程管理端口是否对公网开放。
	检查方法：据实际情况咨询相关服务器管理员

2、查看服务器是否存在可疑账号、新增账号。
	检查方法：打开本地用户和组(lusrmgr.msc)，查看是否有新增/可疑的账号。
- 资产表

3、查看服务器是否存在隐藏账户、影子账号。
	检查方法：
	a、打开注册表，查看管理员对应键值
	b、使用工具，D盾查杀

4、结合日志，查看管理员登录时间、用户名是否存在异常。
	检查方法：
	a、打开事件查看器(eventvwr.msc)
	b、导出Windows日志-安全，利用Log Parser进行分析。

2.3 检查异常端口、进程

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
1、检查端口连接情况，是否有远程连接、可疑连接。
	检查方法：
	a、netstat -ano 查看目前的网络连接，定位可疑的ESTABLISHED
	b、根据netstat 定位出的pid，再通过tasklist命令进行进程定位
		tasklist /fi "PID eq 888"		
		tasklist | findstr "888"

2、进程
	检查方法：
	a、开始-运行-键入 msinfo32，依次点击“软件环境-正在运行任务”就可以查看到进程的详细信息，比如进程路径、进程ID、文件创建日期、启动时间等。
	b、打开D盾_web查杀工具，进程查看，关注没有签名信息的进程。
	c、通过微软官方提供的 Process Explorer 等工具进行排查。
	d、查看可疑的进程及子进程。


3、小技巧：
	a、查看端口对应的PID：netstat -ano | findstr "port"
	b、查看PID对应的进程：tasklist /fi "PID eq pid"
	c、查看进程对应的程序位置：
		任务管理器-选择对应进程-右键打开文件位置
		运行键入wmic，命令 process
	d、查看Windows服务所对应的端口：
		运行键入drivers-进入etc文件-打开services文件
		或%systemRoot%/system32/drivers/etc/services
		（一般%systemRoot%就是C:\Windows）

2.4 检查启动项、计划任务、服务

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
1、检查服务器是否有异常的启动项。
	检查方法：
	a、登录服务器，任务管理器-启动
	b、运行键入 msconfig –启动
	c、运行键入 regedit 打开注册表，查看开机启动项是否正常，特别注意如下注册表项：
	HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run		HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
	d、利用安全软件查看启动项、开机时间管理等
	e、组策略，运行 gpedit.msc
	f、%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup

2、检查计划任务
	检查方法：
	a、win 搜索任务计划程序 或 右键此电脑-管理，查看计划任务属性，便可以发现木马文件的路径。
	b、cmd中输入命令 at 检查计算机与网络上的其他计算机之间的会话或计划任务，如有，则确认是否为正常连接。

3、服务自启动
	检查方法：
	运行键入 services.msc，注意服务状态和启动类型，检查是否有异常服务。

2.5 检查系统相关信息

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
1、查看系统版本以及补丁信息
	检查方法：cmd中命令 systeminfo，查看系统信息。

2、查找可以目录及文件
	检查方法：
	a、查看用户目录，新建账号会在这个目录生成一个用户目录，查看是否有新建用户目录。
	windows 2003 C:\Documents and Settings
	windows 2008 R2 C:\User\
	b、运行键入 recent，分析最近打开分析可疑文件
	c、在服务器目录，可根据文件夹内文件列表时间进行排序，查找可疑文件
	d、回收站、浏览器下载目录、浏览器历史记录
	e、修改时间在创建时间之前的为可疑文件

3、得到发现WEBSHELL、远控木马的创建时间，如何找出同一时间范围内创建的文件？
	a、利用 Registry Workshop 注册表编辑器的搜索功能，可以找到最后
写入时间区间的文件。
	b、利用计算机自带文件搜索功能，指定修改时间进行搜索。
- everything

2.6 自动化查杀

1
2
3
4
5
1、病毒查杀
	检查方法：下载安全软件，更新最新病毒库，进行全盘扫描。
2、webshell查杀
	检查方法：选择具体站点路径进行webshell查杀，建议使用两款webshell查杀工具同时查杀，可相互补充规则库的不足。
- D盾 河马

2.7 日志分析

系统日志分析

1
2
3
4
分析方法：
	a、前提：开启审核策略，若日后系统出现故障、安全事故则可以查看系统的日志文件，排除故障，追查入侵者的信息等。
	b、运行键入eventvwr.msc，打开事件查看器。
	c、导出应用程序日志、安全日志、系统日志，利用 Log Parser 进行分析。
1
2
应用程序日志是由应用程序自动生成的记录文件，用于记录应用程序运行时的各种信息，包括用户操作、系统状态、错误信息
日志默认位置：C:\Windows\System32\winevt\Logs\Application.evtx
1
2
系统日志记录由操作系统组件生成的事件，如启动和关闭信息、硬件和设备信息、性能和资源利用情况等
日志默认位置：C:\Windows\System32\winevt\Logs\System.evtx
EVENT ID 意义
1074 查看计算机的开机、关机、重启的时间以及原因和注释
6005 表示日志服务已启动，用来判断正常开机进入系统
6006 表示日志服务已停止，用来判断系统关机
6009 表示非正常关机， 按ctrl、alt、delete****键关机
41 表示系统在未先正常关机的情况下重新启动。当出现意外断电关机、系统崩溃时
4199 当发生TCP/IP****地址冲突的时候，出现此事件ID，用来排查用户IP网络的问题
35,36,37 记录时间客户端状态信息，35表示更改时间源，36表示时间同步失败，37表示时间同步正常
134 当出现时间同步源DNS解析失败时
7045 服务创建成功
7030 服务创建失败 
1
2
3
安全日志
记录与系统安全相关的事件，如登录和注销、权限变更、异常访问等
日志默认位置：C:\Windows\System32\winevt\Logs\Security.evtx
EVENT ID 意义
4624 表示成功登陆的用户，用来筛选该系统的用户登陆成功情况
4625 表示登陆失败的用户，用来判断RDP爆破的情况
4672 表示授予了特殊权限
4720,4722,4723,4724,4725,4726,4738,4740 事件ID表示当用户帐号发生创建，删除，改变密码时的事件记录。
4728,4729,4732,4733,4756,4757 表示当用户组发生添加、删除时或组内添加成员时生成该事件 
1
2
3
4
登录类型
https://www.zuixu.com/down/363928.html

子状态码
地位和子状态码 描述(针对失败的原因的检查)
0xc0000064 用户名不存在
0xc000006a 用户名是正确的,但密码是错误的
0xc0000234 用户当前锁定
0xc0000072 帐户目前禁用
0xc000006f 用户试图登录天的外周或时间限制
0xc0000070 工作站的限制
0xc0000193 帐号过期
0xc0000071 过期的密码
0xc0000133 时钟之间的直流和其他电脑太不同步
0xc0000224 在下次登录用户需要更改密码
0xc0000225 显然一个缺陷在Windows和不是一个风险
0xc000015b 没有被授予该用户请求登录类型(又名登录正确的)在这台机器
0xc000006d 似乎是由于系统问题和不安全 
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
logparser使用

1、基本查询结构
Logparser.exe –i:EVT –o:DATAGRID "SELECT * FROM 2.evtx"
- 		 接受的数据类型  输出的数据结构
- 最主要关注 --- eventID、strings

2、查询登录成功的事件
登录成功的所有事件：
LogParser.exe -i:EVT –o:DATAGRID "SELECT * FROM 2.evtx where EventID=4624 " 

远程登录的用户
LogParser.exe  -i:EVT -o:DATAGRID "SELECT TimeGenerated, EXTRACT_TOKEN(Strings,0,'|') as User,EXTRACT_TOKEN(Strings,5,'|') as Username,EXTRACT_TOKEN(Strings,18,'|') as IP,EXTRACT_TOKEN(Strings,8,'|') as LogonType FROM 2.evtx WHERE EventID=4624 AND EXTRACT_TOKEN(Strings,8,'|') = '10'"

指定登录时间范围的事件：
LogParser.exe -i:EVT–o:DATAGRID "SELECT * FROM c:\Security.evtx where TimeGenerated>'2018-06-19 23:32:11' and TimeGenerated<'2018-06-20 23:34:00' and EventID=4624"

提取登录成功的用户名和IP：
LogParser.exe -i:EVT –o:DATAGRID "SELECT EXTRACT_TOKEN(Message,13,' ') as EventType,TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,'|') as Username,EXTRACT_TOKEN(Message,38,' ') as Loginip FROM 2.evtx where EventID=4624"

提取登录失败用户名进行聚合统计：
LogParser.exe -i:EVT "SELECT extract_token(strings, 5, '|') as user,count(extract_token(Message,19,' ')) as conuts FROM 2.evtx WHERE eventid = 4625 GROUP BY user"

WEB日志分析

1
2
3
4
5
6
7
8
9
分析方法：
	a、找到中间件的web日志，打包到本地方便进行分析。
	b、推荐工具：Windows下，推荐使用 EmEditor 进行日志分析，支持大文本，搜索效率还不错。Linux下，使用Shell命令组合查看分析。
	c、到对应中间件/服务器存放日志查看内容，例如：
	IIS：C:\WINDOWS\system32\LogFiles    C:\inetpub\logs\LogFiles
	apache：apache默认日志在安装目录下的logs目录中
    Tomcat：logs/catalina.xx.log logs/host-manager.xx.log 				     logs/localhost.xx.log logs/manager.xx.log 主要记录系统启、关闭日志、管理日志和异常信息	
	Weblogic：domain_name/servers/server_name/logs/ server_name.log：server启停日志 access.log：安装在该server之上的应用http访问日志
	jboss：LOG4J配置默认Deploy/conf/ 如jboss/server/default/conf/jboss-log4j.xml

2.8 工具使用

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
1、病毒分析
安全分析工具： https://www.huorong.cn/
Process Explorer： 
https://docs.microsoft.com/en-us/sysinternals/downloads/process-explorer
Process Hacker： https://processhacker.sourceforge.io/downloads.php
Autoruns： 
https://docs.microsoft.com/zh-cn/sysinternals/downloads/autoruns

2、病毒查杀
卡巴斯基： http://devbuilds.kaspersky-labs.com/devbuilds/kvrt/latest/full/kvrt.exe
（推荐理由：绿色版、最新病毒库）
大蜘蛛： https://free.drweb.ru/download+cureit+free
（推荐理由：扫描快、一次下载只能用1周，更新病毒库）
火绒安全软件：https://www.huorong.cn
360杀毒：http://sd.360.cn/download_center.html

3、病毒动态
CVERC-国家计算机病毒应急处理中心：
https://www.cverc.org.cn/
微步在线X情报社区：
https://x.threatbook.cn/
火绒安全论坛：
https://bbs.huorong.cn/
腾讯电脑管家：
http://bbs.guanjia.qq.com/

4、在线病毒扫描网站
virscan：http://www.virscan.org
腾讯哈勃分析系统：https://habo.qq.com
Jotti恶意软件扫描系统：https://virusscan.jotti.org
针对计算机病毒、手机病毒、可疑文件等进行检测分析：http://www.scanvir.com

5、webshell查杀
D盾_Web查杀：
	http://www.d99net.net
河马webshell查杀：
	http://www.shellpub.com
深信服Webshell网站后面检测工具：
	http://edr.sangfor.com.cn/backdoor_detection.html
Safe3:
	http://www.uusec.com/webshell.zip


2.9 后门查杀

1
2
3
4
5
6
7
8
文件md5校验
下载D盾_Web查杀工具的时候，我们可以留意到下载的压缩包里，除了有一个exe可执行文件，还有一个文件md5值。
这个是软件作者在发布软件时，通过md5算法计算出该exe文件的“特征值”。
下载地址：http://www.d99net.net/down/WebShellKill_V2.0.9.zip
文件MD5：29285decadbce3918a4f8429ec33df46
当用户下载软件时，可以使用相同的校验算法计算下载到exe文件的特征值，并与软件开发者发布的特征值比较。如果两个特征值相同，则认为下载到的exe文件是正确的。如果两个特征值不同，则认为下载到exe文件是被篡改过的。

C:\Users\Administrator>certutil -hashfile Desktop\zq.jpg md5

2.10 勒索自救指南

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
勒索病毒搜索引擎
在勒索病毒搜索引擎输入病毒名、勒索邮箱、被加密后文件的后缀名，或直接被上传被加密的文件、勒索提示信息，即可快速查找到病毒详情和解密工具。
【360】勒索病毒搜索引擎，支持检索超过800中常见勒索病毒
	http://lesuobingdu.360.cn
【腾讯】勒索病毒搜索引擎，支持检索超过300中常见勒索病毒
	https://guanjia.qq.com/pr/ls/
【奇安信】勒索病毒搜索引擎
	https://lesuobingdu.qianxin.com/

勒索软件解密工具集
很多安全公司都提供了免费的勒索病毒解密工具下载，收集和整理相关下载地址，可以帮助我们了解和获取最新的勒索病毒解密工具。
【Github项目】勒索病毒解密工具收集汇总
	https://github.com/jiansiting/Decryption-Tools
【卡巴斯基】免费勒索解密器
	https://noransom.kaspersky.com/
【火绒】安全工具下载
	https://bbs.huorong.cn/forum-55-1.html
【腾讯哈勃】勒索软件专杀工具
	https://habo.qq.com/tool/index