一些查看Windows信息的操作

查看账号信息

• 查看当前登录账户：queryuser
• 注销用户ID：logoff [ID]
• 查看用户：net user
• 查看用户登录情况：net user [username]
• 打开本地用户组：lusrmgr.msc
• 注册表查看账户，确认系统是否存在隐藏账户：regedit——>HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names

查看端口进程

• 查看当前连接：netstat -ano
• 查看当前成功建立的连接：netstat -ano | findstr “ESTABLISHED”
• 根据pid定位程序：tasklist | findstr “[pid]”
• 根据端口查看pid：netstat -ano | findstr “8080”
• 在“正在运行任务”中获取进程详细信息（进程开始时间、版本、大小等）：运行——msinfo32——软件环境——正在运行任务
• 利用wmic查看进程执行时的命令： Wmic process where name='[进程名称]' get name,Caption,executablepath,CommandLine ,processid,ParentProcessId /value Wmic process where processid='[进程ID]' get name,Caption,executablepath,CommandLine ,processid,ParentProcessId /value

查看启动项

• 查看系统启动项：运行——msconfig
• 注册表查看是否有异常启动项： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce HKEY_CURRENT_USER\software\micorsoft\windows\currentversion\run

查看计划任务

• 查看定时任务：终端运行schtasks，win7使用at
• 查看任务清单：C:\Windows\System32\Tasks
• 删除计划任务（管理员）：SchTasks /Delete /TN [任务计划名称]

查看系统服务

• 查看服务：services.msc
• 删除服务：可手动删除，也可命令行删除。停止服务：sc stop [服务名称]；删除服务：sc delete [服务名称]

查看文件

• 查看最近打开的文件："%UserProfile%\Recent"
• 查看C:\Documents and Settings和C:\Users下是否存在可疑用户或文件

查看日志

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

Windows安全日志文件在以下路径：
Windows 7及之前的Windows版本：C:\Windows\System32\config\security.log
Windows 8/8.1：C:\Windows\System32\winevt\logs\Security.evtx
Windows 10：C:\Windows\System32\winevt\logs\Security.evtx

Windows Server的安全日志文件与Windows 10类似，位于以下路径：
Windows Server 2008及之前的Windows版本：C:\Windows\System32\config\security.log
Windows Server 2008 R2及更高版本：C:\Windows\System32\winevt\logs\Security.evtx

系统日志：%SystemRoot%\System32\Winevt\Logs\System.evtx

应用程序日志：%SystemRoot%\System32\Winevt\Logs\Application.evtx

Windows安全日志事件ID：

• 通过事件查看器查看日志：eventvwr.msc
• 日志分析工具logparser

logparser使用：

• 登录成功的所有事件：LogParser.exe -i:EVT -o:DATAGRID "SELECT * FROM C:\Windows\System32\winevt\logs\Security.evtx where EventID=4624"
• 登录失败的所有事件：LogParser.exe -i:EVT -o:DATAGRID "SELECT * FROM C:\Windows\System32\winevt\logs\Security.evtx where EventID=4625"
• 指定登录时间范围的事件：LogParser.exe -i:EVT -o:DATAGRID "SELECT * FROM C:\Windows\System32\winevt\logs\Security.evtx where TimeGenerated>'2023-01-19 23:32:11' and TimeGenerated<'2023-06-20 23:34:00' and EventID=4624"
• 将日志导出为CSV格式并进行分析：LogParser.exe -i:EVT -o:CSV "SELECT * FROM C:\Windows\System32\winevt\logs\Security.evtx where EventID=4624" > C:\event.csv
• 提取登录成功的用户名和IP：LogParser.exe -i:EVT –o:DATAGRID "SELECT EXTRACT_TOKEN(Message,13,' ') as EventType,TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,'|') as Username,EXTRACT_TOKEN(Message,38,' ') as Loginip FROM C:\Windows\System32\winevt\logs\Security.evtx where EventID=4624"
• 提取登录失败用户名进行聚合统计：LogParser.exe -i:EVT "SELECT EXTRACT_TOKEN(Message,13,' ') as EventType,EXTRACT_TOKEN(Message,19,' ') as user,count(EXTRACT_TOKEN(Message,19,' ')) as Times,EXTRACT_TOKEN(Message,39,' ') as Loginip FROM C:\Windows\System32\winevt\logs\Security.evtx where EventID=4625 GROUP BY Message"

webshell查杀工具

• D盾
• 河马查杀

参考文章

https://bypass007.github.io/Emergency-Response-Notes/Summary/%E7%AC%AC1%E7%AF%87%EF%BC%9AWindow%E5%85%A5%E4%BE%B5%E6%8E%92%E6%9F%A5.html