Windows系统入侵排查实战指南

1. Windows系统入侵排查的必要性

上周处理的一起客户服务器入侵事件让我意识到，很多管理员对Windows系统入侵排查缺乏系统化认知。当发现服务器CPU异常飙升、陌生进程频繁启动时，多数人第一反应是直接重启机器——这个操作恰恰会销毁最关键的证据链。本文将分享从内存取证、日志分析到持久化机制排查的完整实战路径。

2. 入侵痕迹定位三板斧

2.1 内存取证关键步骤

使用WinPMEM工具导出完整内存镜像（管理员权限运行）：

bash复制winpmem.exe -o memory.raw --output-format raw

内存分析重点检查：

• 隐藏进程（Volatility的pslist与psscan对比）
• 未加载的DLL模块（dlllist插件）
• 网络连接残留（netscan插件）

注意：取证前禁用Windows内存压缩功能（通过PowerShell执行Disable-MMAgent -mc），否则可能丢失关键数据

2.2 磁盘日志黄金组合

事件查看器中优先检查三类日志：

1. 安全日志（EventID 4624/4625登录记录）
2. 系统日志（EventID 7045服务安装）
3. PowerShell日志（EventID 4104脚本执行）

使用LogParser快速筛选异常登录：

sql复制SELECT * FROM Security 
WHERE EventID=4624 AND LogonType=3 
AND NOT Source_Network_Address LIKE '192.168.%'

2.3 持久化机制深度扫描

恶意程序常用驻留位置检查清单：

• 计划任务（schtasks /query /fo list）
• WMI事件订阅（Get-WMIObject -Namespace root\Subscription）
• 服务DLL劫持（sc qc 服务名 | findstr BINARY_PATH_NAME）
• 注册表Run键值（reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run）

3. 高级对抗场景处理

3.1 无文件攻击检测

针对PowerShell内存注入攻击：

powershell复制Get-Process | Where-Object {$_.Modules -like "*clr.dll*"} | 
Select-Object ProcessName,Id,@{N="CLR Loaded";E={$_.Modules.ModuleName -contains "clr.dll"}}

3.2 日志被清除的补救措施

通过USN日志恢复删除记录（需NTFS文件系统）：

powershell复制fsutil usn readjournal C: > usnlog.txt
findstr /i "malware" usnlog.txt

3.3 时间线重构技巧

使用Plaso工具生成系统活动时间轴：

bash复制log2timeline.py --parsers winreg,prefetch timeline.plaso C:\

4. 企业环境增强方案

4.1 实时监控策略配置

部署Sysmon的推荐配置规则：

xml复制<EventFiltering>
  <RuleGroup name="Process Creation" groupRelation="or">
    <ProcessCreate onmatch="exclude">
      <Image condition="end with">explorer.exe</Image>
    </ProcessCreate>
  </RuleGroup>
</EventFiltering>

4.2 基线核查自动化

使用CIS-CAT生成合规报告：

powershell复制Invoke-CISScan -BenchmarkID CIS_Microsoft_Windows_10_Enterprise_Level_1

5. 实战案例复盘

某次溯源中发现攻击者使用WMI永久事件订阅：

powershell复制Get-WMIObject -Namespace root\Subscription -Class __EventFilter
Get-WMIObject -Namespace root\Subscription -Class __EventConsumer
Get-WMIObject -Namespace root\Subscription -Class __FilterToConsumerBinding

清除方法：

powershell复制Remove-WmiObject -Path "\\localhost\root\subscription:__EventFilter.Name='MaliciousFilter'"

6. 防御者工具箱推荐

• 内存分析：Volatility 3 + Rekall插件
• 日志分析：ELK Stack + Winlogbeat
• 文件比对：HashMyFiles vs 已知干净系统哈希库
• 网络流量：Wireshark筛选SMBv1协议流量

排查过程中发现可疑样本时，建议在Windows Sandbox中动态分析：

powershell复制New-Item -Path $env:USERPROFILE\Desktop\malware.txt -ItemType File
Start-Process -FilePath "C:\Windows\System32\WindowsSandbox.exe"