查看启动项
windows运行命令打开启动项查看
msconfig
利用注册表查看启动项
计算机\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
查看windows日志
#打开日志管理器
eventvwr
然后利用事件ID去排查相关的操作行为
事件ID | 说明 |
1102 | 清理审计日志 |
4624 | 账号成功登录 |
4625 | 账号登录失败 |
4672 | 授予特殊权限 |
4720 | 创建用户 |
4726 | 删除用户 |
4728 | 将成员添加到启用安全的全局组中 |
4729 | 将成员从安全的全局组中移除 |
4732 | 将成员添加到启用安全的本地组中 |
4733 | 将成员从启用安全的本地组中移除 |
4756 | 将成员添加到启用安全的通用组中 |
4757 | 将成员从启用安全的通用组中移除 |
4719 | 系统审计策略修改 |
4768 | Kerberos身份验证（TGT请求） |
4769 | Kerberos服务票证请求 |
4776 | NTLM身份验证 |
登录类型：
登陆类型 | 说明 | 测试 | 是否会记录登陆IP地址 |
Logon type 2 Interactive | 本地交互登录。最常见的登录方式。 | 用户关机本地登陆，登陆会触发此登陆类型日志 | 记录127.0.0.1本地IP地址 |
Logon type 3 Network | 网络登录 - 最常见的是访问网络共享文件夹或打印机。IIS的认证也是Type 3 | hydra对445端口(smb)爆破会触发此登陆类型系统日志 IPC$爆破会触发此类登陆类型系统日志 | hydra会记录IP地址与登陆用户 IPC$不会记录登录用户 |
Logon type 4 Batch 计划任务 | |||
Logon Type 10 RemoteInteractive | RemoteInteractive 远程登录 -- 比如Terminal service或者RDP方式。但是Windows 2000是没有Type10的，用Type 2。WindowsXP/2003起有Type 10 | RDP爆破登陆会触发此登陆类型系统日志 mstsc远程登陆会触发此登陆类型系统日志 | 会记录IP地址与登陆用户 |
Logon Type 7 Unlock | 解除屏幕锁定 |
文件排查
运行输入
#临时文件
%temp%
#最近打开的文件
%UserProfile%\Recent
进程分析
#网络状态排查
netstat -ano
#进程排查
tasklist /svc
#PID定位
tasklist | find "pid"
wmic process get name,executablepath,processid | find 进程pid
wmic process where name="powershell.exe"
windows服务项排查
#运行命令打开windows服务
services.msc
主要查看服务属性
windows计划任务
#windows xp/7/..
at
#windows10
schtasks
打开计算机管理，排查计划任务
程序替换（shift后门）
在系统登录界面，连按5次shift触发粘贴键功能，所以将其替换为cmd.exe，替换之后登录界面连按5次shift将直接唤醒cmd命令框
常见的是替换Shift程序为cmd程序，连续按五下Shift键触发
文件路径：C:\WINDOWS\system32\sethc.exe
实现：将C:\WINDOWS\system32\底下的sethc.exe换成cmd.exe即可
账号排查
#运行命令
lusrmgr.msc
利用注册表查询
#注册表地址
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\account\Users\Names
#命令行查询
reg query HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names
有些时候在SAM下面没有内容，这是因为没有权限进行查看，这时需要定位到
HKEY_LOCAL_MACHINE\SAM\SAM
右键权限 完全控制
然后重新进行查询
