应急响应基础（一）——Windows入侵排查

常见的应急响应事件分类：

web入侵：网页挂马、主页篡改、webshell；

系统入侵：病毒木马、勒索软件、远控后门；

网络攻击：DDOS攻击、DNS劫持、ARP欺骗；

一、Windows入侵排查思路

（1）检查系统账号安全

1、检查服务器是否有弱口令，远程管理端口是否对公网开放等；

• 检查方法：根据实际情况咨询相关服务器管理员；

2、查看服务器是否存在可疑账号、新增账号；

• 检查方法：打开 cmd 窗口，输入lusrmgr.msc命令，查看是否有新增/可疑的账号；

3、查看服务器是否存在隐藏账号、克隆账号；

• 检查方法：
• a、
  1）在桌面打开运行（可使用快捷键 win+R），输入 regedit，即可打开注册表编辑器；
  2）选择 HKEY_LOCAL_MACHINE/SAM/SAM，默认无法查看该选项内容，右键菜单选择权限，打开权限管理窗口；
  3）选择当前用户（一般为 administrator），将权限勾选为完全控制，然后确定。关闭注册表编辑器；
  4）再次打开注册表编辑器，即可选择 HKEY_LOCAL_MACHINE/SAM/SAM/Domains/Account/Users；
  5）在 Names 项下可以看到实例所有用户名，如出现本地账户中没有的账户，即为隐藏账户，在确认为非系统用户的前提下，可删除此用户。