日韩无码专区无码一级三级片|91人人爱网站中日韩无码电影|厨房大战丰满熟妇|AV高清无码在线免费观看|另类AV日韩少妇熟女|中文日本大黄一级黄色片|色情在线视频免费|亚洲成人特黄a片|黄片wwwav色图欧美|欧亚乱色一区二区三区

從事應(yīng)急響應(yīng)工作幾年之后，我認(rèn)為總結(jié)一份快速確定計算機(jī)是否被感染木馬和病毒的“方法論”是十分有用的。這顯然不是那么簡單的，可我卻發(fā)現(xiàn)感染幾乎存在于所有不復(fù)雜的攻擊中，如果你執(zhí)行了以下檢測，便可發(fā)現(xiàn)存在感染并快速殺掉它。所有這些事情都可以由一個建立于Windows命令行功能的管理員命令提示符完成。

創(chuàng)新互聯(lián)建站堅持“要么做到，要么別承諾”的工作理念，服務(wù)領(lǐng)域包括：成都做網(wǎng)站、網(wǎng)站設(shè)計、企業(yè)官網(wǎng)、英文網(wǎng)站、手機(jī)端網(wǎng)站、網(wǎng)站推廣等服務(wù)，滿足客戶于互聯(lián)網(wǎng)時代的潮州網(wǎng)站設(shè)計、移動媒體設(shè)計的需求，幫助企業(yè)找到有效的互聯(lián)網(wǎng)解決方案。努力成為您成熟可靠的網(wǎng)絡(luò)建設(shè)合作伙伴！

1、WMIC 啟動項(WMIC Startup Items)

Windows已經(jīng)有一個非常強(qiáng)大的工具——WMIC，在以下幾種方式中較容易為你的調(diào)查建立啟動項。只需打開一個命令提示符，然后輸入【wmic startup list full】。這是一個真實的例子，猜一下哪個項目不屬于其中，會是本地\臨時文件夾嗎?是的。如果你知道應(yīng)該在列表中的東西以及一般正常運(yùn)行的位置，你就能在這里暫停，通常這都非常簡單。找到程序，然后在malwr.com或者VirusTotal上查找它的散列，看看它有沒有感染了其他什么，然后刪除。

2、DNS 緩存(DNS Cache)

打開命令提示符，并輸入【ipconfig/displaydns】?？纯催@些待反測的區(qū)域，有沒有任何的異?，F(xiàn)場?在VirusTotal或者其他地方尋找他們解析的域名及IP，看是否有與之相連的樣本。如果有，那么你肯定被感染了。這里有一個現(xiàn)成的例子：

3、WMIC 進(jìn)程列表(WMIC Process List)

這是WMIC另一個受歡迎的項目，輸入【wmic process list full|more】，或者更緊湊但是更長的輸出【wmic process get description,processed,parentprocessid,commanline/format:csv.】。尋找在奇怪地方運(yùn)行的東西或者惡意、隨機(jī)、名稱怪怪的程序。

4、WMIC 服務(wù)列表(WMIC Service List)

如果你不清楚自己在尋找什么，那這個用起來可能比較困難。但是檢測方便并且容易通過路徑或者exe名稱發(fā)現(xiàn)惡意軟件。格式與其他的相似，或者你也可以得到更具體“get”版本。輸入【wmic service list full| more】或者【wmic service get name,processid,startmode,state,status,pathname /format:csv】。這里有個小例子展示了只有服務(wù)名稱和路徑的情況。

5、WMIC 工作列表(WMIC Job List)

這是個看起來最不可能發(fā)現(xiàn)任何東西的項目，因為絕大多數(shù)惡意軟件都不用jobs，但是在例如MPlug的一些版本中，是很容易檢測出的。輸入【wmic job list full】，你能夠獲得一個【沒有可用實例】的回執(zhí)，這就意味著沒有已安排的項目在執(zhí)行。

6、Netstat

莫忘記基礎(chǔ)，如果IP是谷歌或者stealyourbanknumber.su.【netstat -abno】的，輸出可能需要搜索來查看，即使這樣可以還是尋找奇異的外部站點端口號碼，如25、8080、6667等等。

Netstat控制如下：

-a 顯示所有連接和監(jiān)聽端口

-b 顯示參與創(chuàng)建每個連接或者監(jiān)聽端口的可執(zhí)行文件

-n 以數(shù)字形式顯示地址和端口號碼

-o 顯示擁有的每個與鏈接相關(guān)的進(jìn)程ID

7、批處理文件版本

用一種簡單可重復(fù)的方式完成這些WMIC東西并生成一份報告，怎么樣呢?我已經(jīng)有了。把東西都丟到一個批處理文件中，然后設(shè)置一個主機(jī)名參數(shù)，你甚至能夠在全網(wǎng)中使用它——獲得其他計算機(jī)的適當(dāng)權(quán)限，方便進(jìn)行遠(yuǎn)程評估。

這個腳本可以讓你更清楚的了解HTML格式的輸出，其中包括了你從電腦中獲取的信息：

wmic /node:%1 computersystem get model,name,username,domain /format:htable > c:\triage-%1.html wmic /node:%1 startup list full /format:htable >> c:\triage-%1.html wmic /node:%1 process get description,processid,parentprocessid,commandline /format:htable >> c:\triage-%1.html wmic /node:%1 service get name,processid,startmode,state,status,pathname /format:htable >> c:\triage-%1.html wmic /node:%1 job list full /format:htable >> c:\triage-%1.html