Windows服务器入侵检测排查方法 _入侵检测

一、文件排查1）开机启动有无异常文件
【文件】→【运行】→【msconfig】

文章插图
2）各个盘下的temp（tmp）相关目录下查看有无异常文件：windows产生的临时文件：

文章插图

3）Recnt是系统文件夹，里面存放着你最近使用的文档的快捷方式，查看用户recent相关文件，通过分析最近打开分析可疑文件：
【开始】→【运行】→【%UserProfile%、Recent】
4）根据文件夹内文件列表时间进行排序，查找可疑文件。当然也可以搜索指定日期范围的文件及文件：
Windows Server 2008 R2

文章插图

Windows 10

文章插图

5）查看文件时间，创建时间、修改时间、访问时间，黑客通过菜刀类工具改变的是修改时间。所以如果修改时间在创建时间之前明显是可疑文件

文章插图

二、端口、进程排查【Windows服务器入侵检测排查方法】1）netstat -ano //查看目前的网络连接，定位可疑的ESTABLISHED
netstat //显示网络连接、路由表和网络接口信息；
参数说明：

文章插图

常见的状态说明：
LISTENING //倾听状态
ESTABLISHED //建立连接
CLOSE_WAIT //对方主动关闭连接或网络异常异常连接中断
2）根据netstat定位出的pid ，再通过tasklist命令进行进程定位
tasklist //显示运行在本地或远程计算机上的所有进程；

文章插图

3）根据wmic process获取进程的全路径（注：任务管理器也可以定位到进程路径）

文章插图

文章插图

小技巧：
①查看端口对应的PID： netstat -ano | findstr "port"
②查看进程对应的PID：任务管理器--查看--选择列--PID 或者 tasklist | findstr "PID"
③查看进程对应的程序位置：
任务管理器--选择对应进程--右键打开文件位置
运行输入 wmic ， cmd界面输入 process d、tasklist /svc 进程--PID--服务
④查看Windows服务所对应的端口：
%system%/system32/drivers/etc/services（一般%system%就是C:Windows）
三、系统信息排查1）查看环境变量的设置
【我的电脑】→【属性】→【高级系统设置】→【高级】→【环境变量】