Windows入侵排查详细指南

以下为Windows入侵排查的详细指南，帮助管理员快速定位和处理系统入侵问题：

• 弱口令与远程端口暴露

  检查管理员、数据库、应用后台等账户是否使用简单密码（如123456、admin），建议强制使用12-16位包含大小写字母、数字及特殊字符的密码。

  确认远程管理端口（如3389/RDP、22/SSH）是否对公网开放。非必要情况下，通过防火墙规则限制访问IP或关闭端口。

• 可疑账号与隐藏账号

  使用 lusrmgr.msc 打开本地用户和组管理工具，检查管理员组（Administrators）中是否存在未知账号，立即删除。

  检查注册表路径 HKEY_LOCAL_MACHINESAMSAMDomainsAccountUsers（需先修改权限），查看是否有异常命名或无描述的账户。

  使用工具如 D盾 检测克隆账号（克隆账号通常与正常账号权限相同但路径异常）。

• 登录日志分析

  通过 eventvwr.msc 打开事件查看器，筛选事件ID 4624（登录成功） 和 4625（登录失败）。

  重点关注异常时间（如凌晨）或频繁失败的登录尝试（可能为暴力破解）。

• 网络连接排查

  执行 netstat -ano 查看当前连接，筛选 ESTABLISHED 状态的异常IP（如国外IP、云厂商IP或非常规端口通信）。

  结合 tasklist | findstr "PID" 定位进程，检查进程路径是否合法。例如，非系统进程若位于 C:WindowsSystem32 外需警惕。

• 恶意进程识别

  使用 Process Explorer 或 D盾 分析进程：

  无数字签名或描述信息的进程。

  资源占用过高的进程（如CPU/内存持续90%以上）。

  检查进程的子进程，尤其是由 cmd.exe 或 powershell.exe 启动的未知程序（可能为后门或下载器）。

• 启动项排查

  通过 msconfig 或注册表检查以下路径的启动项：

  HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun 删除命名异常或路径指向可疑位置的条目。

  使用 Autoruns 工具全面分析自启动项，重点关注粉色标记的条目（通常为未签名或修改过的启动项）。

• 计划任务与服务

  执行 schtasks /query 查看计划任务，检查是否有非常规脚本或路径（如临时目录或可疑域名）。

  通过 services.msc 检查服务状态，禁用启动类型为“自动”的未知服务（尤其是无描述或非微软签名的服务）。

• 系统补丁与目录检查

  执行 systeminfo 查看系统版本和缺失补丁，及时通过Windows Update或离线补丁包修复漏洞。

  检查敏感目录（如 C:Users、%APPDATA%、回收站），按时间排序查找近期新增或修改的可疑文件（如 .exe、.dll、.vbs）。

• 后门文件检测

  检查系统文件（如 sethc.exe、utilman.exe）的创建与修改时间是否一致。若异常，上传至 Virustotal 检测是否为替换的后门文件。

  注册表路径 HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options 中查看是否有 debugger 键值劫持（常见于持久化后门）。

• 系统与Web日志

  导出安全日志（Security Log），使用 Log Parser 分析登录IP和用户行为，筛选高频访问或异常地域IP。

  Web中间件日志（如Apache、IIS）中筛选攻击时间段的异常请求，例如：

  大量POST操作（可能为文件上传攻击）。

  访问 .asp、.php 等动态页面的可疑参数（如 ?cmd=whoami）。

• 病毒与Webshell查杀

  使用 卡巴斯基、火绒 等工具全盘扫描，推荐结合多款工具互补规则（如火绒查杀已知病毒，卡巴斯基检测未知威胁）。

  针对Web目录，使用 D盾 和 河马查杀工具 检测Webshell（如 .asp、.php 后门文件）。

• 入侵后恢复

  立即重装系统，避免残留后门或恶意程序。

  修复漏洞并安装所有补丁，修改所有账户密码（尤其是管理员和数据库账户）。

  更换远程桌面默认端口（如从3389改为5900），并配置防火墙规则限制访问。

• 长期防护措施

  定期备份数据（建议使用3-2-1原则：3份备份、2种介质、1份异地）。

  配置防火墙限制高危端口访问（如关闭3389、445等公网暴露端口）。

  启用主机安全防护工具（如 腾讯云主机安全Agent、Windows Defender ATP），实时监控异常行为（如进程注入、文件篡改）。

通过以上步骤，可系统化排查Windows入侵问题，从账号、进程、网络到文件层面全面覆盖，并结合日志分析与自动化工具提升效率。