Windows应急响应一般思路（三）

文件痕迹排查

在应急响应排查的过程中，由于大部分的恶意软件、木马、后门等都会在文件维度上留下痕迹，因此对文件痕迹的排查必不可少

一般可以从以下几方面对文件痕迹进行排查

• 对恶意软件常用的敏感路径进行排查
• 在确定了应急响应事件的时间点后，对时间点前后的文件进行排查
• 对带有特征的恶意软件进行排查，这些特征包括代码关键字或关键函数、文件权限特征等

Windows文件痕迹排查

敏感目录

在Windows系统中，恶意软件常会在以下位置驻留

temp(tmp)相关目录

有些恶意程序释放子体（即恶意程序运行时投放出的文件)一般会在程序中写好投放的路径，由于不同系统版本的路径有所差别，是临时文件的路径相对统一，因此在程序中写好的路径一般是临时目录，对敏感录进行的检查，一般是查看临时目录下是否有异常文件

除了temp，Windows、Appdata、localappdata这些目录也需要排查一下

• %WINDIR%，Windows目录
• %WINDIR%\system32\
• %TEMP%，temp目录
• %LOCALAPPDATA%，localappdata目录
• %APPDATA%，Appdata目录

工