Windows应急响应排查框架（上）

剁椒Muyou鱼头
剁椒Muyou鱼头

剁椒Muyou鱼头

2026年7月25日 08:00
山东

在小说阅读器读本章

去阅读

阅读须知

本公众号文章皆为网上公开的漏洞，仅供日常学习使用，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。

朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把剁椒Muyou鱼头“设为星标”，否则可能就看不到了啦！

2026/07/27 星期一

//01 前言

做应急响应多了就会发现，大多数入侵不是多高级的手法，而是你没按流程排查，漏了关键节点。

这篇把 Windows 应急响应的完整思路分上下两篇梳理一遍。上篇覆盖接到告警到分析持久化的前半段：通用思路、查账号、查端口进程、查启动项计划任务服务。下篇讲系统信息、病毒查杀、日志分析和特殊场景。

建议两篇一起收藏。

//02 通用排查思路先问，再查

别上来就敲命令。第一步永远是问清楚：

• 谁发现的异常？什么时间？

• 异常现象是什么（CPU爆了？文件被加密？有陌生人登录？收到通报了？）

• 受害方做了什么处置（有没有关机、杀进程、删文件，这些操作可能破坏现场）

问清楚之后，先跑一条 systeminfo，把机器基本信息捞出来：主机名、OS 版本、安装时间、启动时间、补丁列表。有条件的话全程录屏。

然后从现象反推可能的入侵路径，再从路径反查对应的 Windows 痕迹点。每一步都在脑子里先画好图再动手，盲查效率极低，而且容易破坏残留证据。

//03 查账号，谁进来了

弱口令和暴露端口

问管理员：远程桌面RDP和SSH是否对公网开放，密码复杂度如何。弱口令+ 3389对公网，是Windows 被拿下的最常见入口，没有之一。

查有没有多出来的账号

命令行跑 lusrmgr.msc，进「本地用户和组」。重点看 Administrators 组里有没有不认识的账号。有就直接禁掉或删除。

留意用户名带 $ 结尾的隐藏账号和克隆账号。注册表路径：

HKLM\\SAM\\SAM\\Domains\\Account\\Users

需要提权才能查看。懒得手动就用D盾的克隆账号检测功能扫一下。

查登录日志

Win+R→eventvwr.msc，筛选安全日志，事件ID 4624是成功登录。导出后用Log Parser做批量分析，重点关注非工作时间、异地IP的登录记录。

//04 查端口和进程，谁在往外连

看网络连接

定位ESTABLISHED状态的连接。发现可疑外部IP，直接扔威胁情报平台查归属。拿到PID后用tasklist定位进程：

tasklist | findstr \"PID\"

看进程

msinfo32→软件环境→正在运行任务，能看到进程路径、PID、启动时间。配合任务管理器一起看。

重点关注这几类进程：

• 没有数字签名的

• 没有描述信息的

• 属主不是 SYSTEM 或正常用户的

• 路径不合法（跑在 Temp、下载目录的）

• CPU/内存长期高占用的

工具方面，Process Explorer、火绒剑、PC Hunter、Process Hacker 轮流上。拿到可疑文件的MD5扔到微步/VirusTotal 查一波。

//05 查启动项、计划任务、服务

启动项

msconfig看一遍启动项目。重点关注注册表这几个位置：

HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\RunHKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\RunHKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\WinLogon

用Autoruns工具扫更省事，启动项、服务、驱动、浏览器插件一网打尽。

计划任务

taskschd.msc 打开任务计划程序，逐个看属性和触发条件。重点看执行路径是否指向可疑目录。

计划任务的 XML 配置文件落在这几个目录：

C:\\Windows\\System32\\TasksC:\\Windows\\SysWOW64\\TasksC:\\Windows\\tasks

有些马会在这里藏匿，不通过GUI还看不出来。

服务自启动

services.msc，看启动类型为「自动」的服务，注意那些没描述、没签发者的。

//06 结尾

上篇到此。覆盖了从接报到定位持久化的完整链路，先把\"人怎么进来的\"和\"怎么赖着不走\"搞清楚。下篇继续系统信息排查、后门查杀、日志分析，外加挖矿和勒索的场景速查，最后附一份完整工具清单。

END

作者 | 剁椒Muyou鱼头

I like you,but just like you.

我喜欢你，仅仅如此，喜欢而已~

点赞在看不迷路哦！