不乱于心,不困于情。
不畏将来,不念过往。如此,安好。

系统后门应急排查方法

01
确定病毒文件位置
首先需要确定后门运行时的行为,处置目标多数都是以获取目标 样本,排查入侵来源,在排查中最高效直接的自然就是用杀软杀毒, 如果当前杀软杀不出来,那就多换几个,当然,勒索病毒除外。首先需要通过排查端口连接以及进程去确定病毒文件位置:

确定进程名

通过windows任务管理器查看进程启动命令,筛查异常进程。

02
情况分析
一般来讲,通过上述三种方式都能确定到后门进程/文件。到这一步一般分为两种结果

1、已经确定异常进程并找到了病毒文件

2、发现进程名是正常进程 第一种情况就不多说了,已经取得成功了。那么第二种就稍微有点棘手。

这时需要考虑两种情况 :

1、正常文件被感染 直接对文件进行查杀验证,需要注意的是,有些后门文件会使用 系统文件名,路径也极为相似,此时需要关注路径是否正确。

案例 1:svchost.exe:

案例 2:taskmgr.ex

2、进程注入 进程注入的特点

此处显示的是rundll32.exe,是系统正常进程名

完整效果(因为这里重新开启了一个进程所以进程号变了)

03
排查方法
这里提供两种方式进行排查1. 通过 tasklist 查看进程 dll,这里要有心理准备,会出现上百个 dll 让你排查。

2. 通过 processhack 排查 找到创建外连进程的父进程

在父进程的 modules 中可以排查到恶意 dll

转自:白帽子社区

赞(0) 打赏
未经允许不得转载:seo优化_前端开发_渗透技术 » 系统后门应急排查方法

相关推荐

  • 暂无文章

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏