# Windows主机应急排查清单（红蓝队通用·可直接写入报告） > 适用场景：服务器被入侵、挖矿、远控、勒索、账号被盗；**先取证，再处置**；全程记录命令与截图。 > 前置准备：导出日志、导出进程列表、导出启动项；优先使用命令行，避免恶意程序拦截图形界面。 ## 一、第一步：基础信息与账号排查（优先查账号入侵） ### 1. 系统基础信息 ```cmd systeminfo > systeminfo.txt hostname whoami ipconfig /all ``` 核查项：系统版本、补丁、主机名、网卡、外网IP。 ### 2. 本地账号（重点） 1）图形：`lusrmgr.msc` 2）命令： ```cmd net user > userlist.txt wmic useraccount get name,sid,status ``` 可疑点： - 陌生管理员账号、隐藏账号（带$后缀） - Guest账号被启用、普通用户被加入管理员组 - 账号近期创建时间、密码被篡改 ### 3. 用户组权限 ```cmd net localgroup administrators net localgroup remote desktop users ``` 核查：非业务账号是否在管理员组、远程桌面组。 ### 4. RDP远程登录配置 - 检查是否开启远程桌面：`sysdm.cpl` → 远程 - 查看RDP监听端口：`netstat -ano | findstr 3389` - 核查防火墙是否放行3389 --- ## 二、第二步：网络连接排查（外联、后门、挖矿） ### 1. 查看所有TCP/UDP连接（必查） ```cmd netstat -ano > netstat.txt netstat -anb （带进程名，需要管理员权限） ``` 重点筛选： - 状态为 **ESTABLISHED（已建立外联）** - 对外连接境外IP、矿池IP、C2服务器 - 异常监听端口：445、135、6379、1080、8080、随机高位端口 - PID对应进程路径是否正常 ### 2. 路由与DNS篡改 ```cmd route print ipconfig /displaydns ``` 核查：异常静态路由、DNS被劫持。 ### 3. 防火墙策略 ```cmd netsh advfirewall show allprofiles ``` 核查：防火墙被关闭、放行陌生端口、入站规则添加后门。 --- ## 三、第三步：进程排查（恶意进程、进程注入、挖矿） ### 1. 进程列表（命令导出） ```cmd tasklist > tasklist.txt wmic process get name,executablepath,commandline,parentprocessid > process_full.txt ``` ### 2. 可疑进程特征（红警项） 1. 进程名仿冒系统进程：`svch0st.exe`、`expl0rer.exe`、`winlog0n.exe`（数字0替代字母o） 2. 程序路径在临时目录：`%TEMP%`、`AppData\Local`、`C:\Users\Public`、回收站 3. 无数字签名、厂商信息为空 4. CPU/内存长期占满（挖矿程序） 5. 父进程异常：explorer启动cmd、powershell；rundll32无正常父进程 ### 3. 工具深化排查（Sysinternals） - **Process Explorer**：查看进程树、命令行、文件路径、句柄、是否被注入 - **ProcMon**：记录文件/注册表/网络行为，捕捉恶意程序落地行为 ### 4. 查找隐藏进程 ```powershell Get-WmiObject Win32_Process | Select Name,ExecutablePath ``` --- ## 四、第四步：持久化排查（后门驻留，重中之重） ### （一）开机启动项 #### 1）启动文件夹 ```cmd dir "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup" dir "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup" ``` #### 2）注册表Run键（最常用自启动） 打开`regedit`，导出以下键： 1. HKCU\Software\Microsoft\Windows\CurrentVersion\Run 2. HKLM\Software\Microsoft\Windows\CurrentVersion\Run 3. HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce #### 3）系统配置启动项 `msconfig` → 启动；Win10/11在任务管理器【启动】标签页。 ### （二）系统服务（后门伪装成服务） 1）图形：`services.msc` 2）命令导出： ```cmd sc query state= all > service.txt wmic service get name,displayname,pathname,startmode > service_full.txt ``` 可疑服务特征： - 可执行文件路径位于Temp、Public、用户目录 - 服务名称模仿系统服务，描述为空 - 启动类型为自动，且无法正常停止 ### （三）计划任务（高频持久化方式） 1）图形：`taskschd.msc`（任务计划程序库） 2）命令导出全部任务： ```cmd schtasks /query /fo LIST /v > task.txt ``` 3）PowerShell查询近期新建任务： ```powershell Get-WinEvent -FilterHashtable @{LogName='Security';Id=4698} ``` 重点：随机任务名、触发条件为开机/登录、执行程序在临时目录、PowerShell脚本任务。 ### （四）WMI事件订阅（高级后门，隐蔽极强） ```powershell Get-WmiObject -Namespace root\subscription -Class __EventFilter Get-WmiObject -Namespace root\subscription -Class CommandLineEventConsumer ``` ### （五）其他持久化点位 - 映像劫持（IFEO）：`HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options` - 组策略脚本、登录脚本 - 驱动级后门（检查非微软签名驱动） ### （六）一键自查工具（首选） **Autoruns（微软官方）** 勾选【Hide Microsoft and Windows entries】，所有剩余项全部逐条核查，可直接定位隐藏启动项。 --- ## 五、第五步：文件与恶意样本排查 ### 1. 高危目录检索（查找木马、exe、bat、ps1） ```cmd :: 查找最近7天新建可执行文件 for /r C:\ %i in (*.exe,*.bat,*.ps1,*.vbs,*.dll) do @echo %i >> filelist.txt ``` 重点目录： - `C:\Windows\Temp` - `%TEMP%` - `C:\Users\Public` - 浏览器下载目录、桌面 ### 2. 查找隐藏文件、无后缀可执行文件 开启文件夹选项：显示隐藏文件、显示文件扩展名。 ### 3. 排查文件篡改 - hosts文件：`C:\Windows\System32\drivers\etc\hosts`，检查是否劫持域名 - 检查系统关键文件是否被替换 ### 4. 勒索病毒特征 - 出现大量加密文件（后缀.xxx、.lock、.crypt） - 桌面出现勒索txt/网页 - 卷影副本被删除（无法恢复文件） --- ## 六、第六步：系统日志审计（溯源入侵行为） 打开事件查看器：`eventvwr.msc`，优先导出**安全日志**（evtx格式，不要直接清空）。 ### 核心事件ID（必查） 1. **4624**：登录成功（RDP、IPC、远程登录） 2. **4625**：登录失败（暴力破解痕迹） 3. **4672**：管理员权限登录 4. **4698**：计划任务创建 5. **7045**：系统服务安装（新增后门服务） 6. **104**：日志被清除（攻击者删日志） ### 日志导出命令 ```powershell wevtutil epl Security C:\security_log.evtx wevtutil epl System C:\system_log.evtx wevtutil epl Application C:\app_log.evtx ``` ### 可疑行为溯源 - 非工作时间异地登录 - 连续大量登录失败后出现成功登录 - 管理员账号异地登录 - 日志被清空、大量日志缺失 --- ## 七、第七步：安全配置篡改检查 1. 杀毒软件状态：Defender被关闭、实时防护被禁用 ```powershell Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct ``` 2. 任务管理器、注册表、CMD被禁用（组策略/注册表篡改） 3. UAC被关闭 4. 系统还原、卷影副本被删除（勒索病毒典型操作） 5. IPC$默认共享未关闭：`net share` --- ## 八、第八步：取证+处置流程（标准应急流程） ### 1）取证（先取证，后清理） 1. 导出所有日志、进程、服务、启动项、网络连接，打包加密留存 2. 拷贝恶意程序样本，做哈希（MD5/SHA256） 3. 抓取内存镜像（FTK Imager、DumpIt） ### 2）清理处置步骤 1. 断开网络（内网先隔离，外网直接断网） 2. 结束恶意进程，删除对应可执行文件 3. 删除所有异常启动项、服务、计划任务、WMI订阅 4. 重置所有账号密码，尤其是管理员账号，开启登录锁定 5. 修复被篡改的hosts、防火墙、组策略 6. 全盘杀毒（Microsoft Safety Scanner、Defender全盘扫描） 7. 打系统高危补丁（MS17-010永恒之蓝、RDP漏洞等） ### 3）事后加固项 1. 关闭公网445、135、3389、22等端口，仅内网IP白名单访问 2. 开启防火墙，只放行业务端口 3. 开启账号登录失败锁定，开启RDP的NLA网络级别认证 4. 定期备份系统与数据，开启卷影副本 5. 关闭不必要的共享与默认服务 --- ## 九、极简排查速查表（10分钟快速初判） 1. 账号：陌生管理员账号、隐藏账号 2. 网络：异常外联IP、陌生端口监听 3. 进程：仿冒进程、临时目录程序、CPU异常占用 4. 持久化：Run注册表、陌生服务、新建计划任务 5. 日志：异地登录、暴力破解、日志被清空 6. 配置：杀毒被关闭、远程桌面对外开放、防火墙被关闭 --- ## 十、配套工具清单（Sysinternals工具包） 1. Autoruns：自启动项全景排查 2. Process Explorer：进程树+命令行+注入检测 3. TCPView：图形化网络连接 4. ProcMon：文件/注册表行为监控 5. PsExec：System权限执行命令（排查隐藏任务） 6. DumpIt：内存镜像取证