应急响应 | win常见应急排查
内容提要
本文介绍了Windows系统下常用的应急响应系统命令，包括系统排查、用户信息排查、进程排查、服务排查、文件痕迹排查、日志排查、内存分析、流量分析和威胁情报。还介绍了查看用户信息和启动项的命令和方法。
延伸解读
隐藏账户的排查要点
攻击者常通过建立隐藏账户实现远程控制，常见手法包括新建账户、激活默认账户或创建以$结尾的隐藏账户。使用net user命令无法看到隐藏账户，需通过计算机管理窗口或注册表查看。注册表中可导出以00000开头的项，与Administrator的000001F4项比较F值，若相同则可能为克隆账户。
启动项排查与注册表结构
启动项是病毒后门实现持久化驻留的常用方法，应急响应中必须排查。可通过msconfig查看系统配置，或直接检查注册表。注册表是分层存储的数据库，主要根键包括HKCR、HKCU、HKLM、HKU和HCU，其中HKLM包含计算机硬件和应用程序的通用配置，启动项常位于其Software子项下。
系统信息快速获取
应急响应初期需快速了解机器基本信息，如系统版本、硬件信息等。可使用msinfo32命令打开系统信息工具，查看进程信息、网络连接和加载的模块；也可使用systeminfo命令获取类似信息。这些命令有助于初步判断系统状态，为后续深入排查提供基础。
Q&A
Windows系统应急响应时需要排查哪些方面？
应急响应时需要排查系统、用户信息、进程、服务、文件痕迹、日志、内存、流量和威胁情报等方面。
如何查看Windows系统的基本信息？
可以使用msinfo32和systeminfo命令查看Windows系统的基本信息。
攻击者在Windows系统中可能如何建立隐藏账户？
攻击者可能通过直接建立新账户、激活默认账户或建立以$结尾的隐藏账户来进行远程控制。
如何查看Windows系统中的启动项？
可以通过msconfig命令查看系统配置，或通过注册表查看启动项。
注册表在Windows系统中的作用是什么？
注册表是存储系统信息的重要数据库，包含系统所需的配置信息和用户设置。
如何通过命令行查看Windows用户信息？
可以使用net user命令查看用户信息，或使用wmic命令获取用户账户的名称和SID。
