1.1 检查 体系账号安全

1、查看服务器是否有弱口令，远程管理端口是否对公网开放。

检查 技巧:据实际情况咨询相关服务器管理员。

2、查看服务器是否存在可疑账号、新增账号。

检查 技巧:打开cmd 窗口，输入lusrmgr.msc命令，查看是否有新增/可的账号，如有管理员群组的 (Administrators)里的新增账户，如有，请立即禁用或删除掉。

3、 查看服务器是否存在隐藏账号、克隆账号

检查 技巧:

a、打开注册表，查看管理员对应键值

b、使用D盾 web查杀工具，集成了对克隆账号检测的功能

4、结合日志，查看管理员登录 时刻、用户名是否存在异常

检查 技巧：

a、Win+R打开运行，输入“eventvwr.msc”，回车运行，打开“事件查看器”

b、导出Windows日志–安全，利用Log Parser进行分析。

1.2检查异常端口、进程

1、检查端口连接情况，是否有远程连接、可疑连接

检查 技巧:

a、netstat-ano查看目前的网络连接，定位可疑的ESTABLISHED

findstr

b、 根据netstat 定位出的pid 再通过tasklist命令进行进程定位tasklist findstr “PID”

2、进程

检查 技巧:

a、开始–运行–输入msinfo32，依次点击“软件环境一正在运行任务”就可以查看到进程的详细信息，比如进程路径、进程ID、文件创建日期、启动 时刻等。

b、打开D盾 web查杀工具，进程查看，已关注没有签名信息的进程，

c、通过微软官方提供的 Process Explorer 等工具进行排查

d、查看可疑的进程及其子进程。可以通过观察 下面内容内容:

没有签名验证信息的进程

没有描述信息的进程

进程的属主

进程的路径是否合法

CPU或内存资源占用长 时刻过高的进程

3、小技巧:

a、查看端口对应的PID:netstat -ano | findstr “port”

b. 查看进程对应的PID:任务管理器–查看–选择列–PID或者 tasklist | findstr “PID”

c、查看进程对应的程序位置:

任务管理器–选择对应进程–右键打开文件位置

运行输入 wmic，cmd界面输入process

d、tasklist /svc 进程–PID–服务

e、查看Windows服务所对应的端口:%system%/system32/drivers/etc/services(一般%system%就是C:Windows)

1.3 检查启动项、 规划任务、服务

1. 检查服务器或者电脑是否有异常的启动项。

检查 技巧:

a、登录服务器，单击【开始】>【所有程序】>【启动】，默认情况下此目录在 一个空目录，确认是否有非业务程序在该目录下。

b、单击开始菜单 >【运行】，输入 msconfig，查看是否存在命名异常的启动项目，是则取消勾选命名异常的启动项目，并到命令中显示的路径删除文件。

c、单击【开始】>【运行】，输入 regedit，打开注册表，查看开机启动项是否正常，特别注意如下三个注册表项:

HKEY CURRENT USER software micorsoft windows currentversion run

HKEY LOCAL MACHINE SoftwarelMicrosoft Windows CurrentVersion Run

HKEY LOCAL MACHINESoftware MicrosoftWindows CurrentVersion Runonce

检查右侧是否有启动异常的项目，如有请删除，并建议安装杀毒软件进行病毒查杀，清除残留病毒或木马。

d、利用安全软件查看启动项、开机 时刻管理等

e、组策略，运行gpedit.msc。

2、检查 规划任务

检查 技巧:

a、单击【开始】>【设置】>【控制面板】>【任务 规划】，查看 规划任务属性，便可以发现木马文件的路径。

b、单击【开始】>【运行】;输入 cmd， 接着输入at，检查计算机与网络上的其它计算机之间的会话或 规划任务，如有，则确认是否为正常连接。

3、服务自启动

检查 技巧:单击【开始】>【运行】，输入services.msc，注意服务 情形和启动类型，检查是否有异常服务。

1.4 检查 体系相关信息

1、查看 体系版本以及补丁信息

检查 技巧:单击【开始】>【运行】，输入systeminfo，查看 体系信息

2、查找可疑目录及文件

检查 技巧:

a、查看用户目录，新建账号会在这个目录生成一个用户目录，查看是否有新建用户目录。

Window 2003 C:Documents and Settings

Window 2008R2 C:Users

b、单击【开始】>【运行】，输入%serProfile%Recent，分析最近打开分析

件。

c、在服务器各个目录，可根据文件夹内文件列表 时刻进行排序，查找可疑文件

d、回收站、浏览器下载目录、浏览器历史记录

e、修改 时刻在创建 时刻之前的为可疑文件

3、得到发现WEBSHELL、远控木马的创建 时刻， 怎样找出同一 时刻范围内创建的文件?

a、利用 Registry Workshop 注册表编辑器的搜索功能，可以找到 最后写入 时刻区间的文件。

b、利用计算机自带文件搜索功能，指定修改 时刻进行搜索。

1.5 自动化查杀

病毒查杀:

检查 技巧:下载安全软件，更新最新病毒库，进行全盘扫描，webshe11查杀

检查 技巧:选择具体站点路径进行webshe11查杀，建议使用两款webshe1l查杀工具同时查杀，可相互补充 制度库的不足。

1.6 日志分析

体系日志

分析 技巧:

a、前提:开启审核策略，若日后 体系出现故障、安全事故则可以查看 体系的日志文件，排除故障，追查入侵者的信息等。

b、Win+R打开运行，输入“eventvwr.msc”，回车运行，打开“事件查看器”

c. 导出应用程序日志、安全日志、 体系日志，利用Log Parser进行分析。

WEB访问日志

分析 技巧:

a、找到中间件的web日志，打包到本地方便进行分析。

b、推荐工具:Window下，推荐用 EmEditor 进行日志分析，支持大文本，搜索效率还不错。

Windwos事件分类:

Windows事件日志有五种事件类型，所有的事件必须且只能拥有其中一种事件类型

1、信息(Infor tion)

信息事件指应用程序或服务的成功操作的事件，比如:录成功，搜索服务成功操作都会保留在信息事件的日志文件中。

2、警告(Warning)

警告事件指不是直接的、主要的， 然而会导致将来 难题发生的 难题。例如，当磁盘空间不足或未找到打印机时，都会记录一个“警告”事件。

3、错误(Error)

错误事件指用户应该知道的重要的 难题。错误事件通常指功能和数据的丢失。例如，如果一个服务不能作为 体系引导被加载，那么它会产生一个错误事件。

4、成功审核

成功的审核安全访问尝试，主要是指安全性日志，这里记录着用户录/注销、对象访问、特权使用、账户管理、策略更改、详细跟踪、目录服务访问、账户登录等事件，例如所有的成功登录 体系都会被记录为“成功审核”事件。

5、失败审核

失败的审核安全登录尝试，例如用户试图访问网络驱动器失败，则该尝试会被作为失败审核事件记录下来。

Linux下，使用She1l命令组合查询分析

Windonws建议针对异常的文件进行MD5校验