应急轻：一键应急响应工具

原创

z3nbyte
z3nbyte

问渠安全实验室

2026年10月21日 14:55
北京

去阅读

应急轻：一键应急响应工具

一个 342 KB 的 EXE，双击，等几分钟，桌面上多一份报告。 报告里写四件事：文件在哪、谁启动的、怎么维持、连到哪。

图 4 · 报告的组织方式：以对象为中心，不是以“发现”为中心

04 几个关键选择

先认人，再关联

PID 会被重用。一个小时后你再去看 3652，可能已经是别的进程。所以采集时记的是“路径 + 启动时间 + 进程身份”，关联前先校验，对不上就不连。宁可少一条线，不要多一条错的。

只连有证据的关系

DNS 缓存里没有进程归属，这是 Windows 的现状，不是我们偷懒。所以这类线索单独放，标“候选”。静态地址不等于已经连上的 C2，失败 DNS 也可能只是解析超时。

这条规矩很影响观感：报告会显得“不够狠”。但我们更怕另一种报告——每条都言之凿凿，到现场一核，三条里错两条。

内存要和磁盘对得上

只看进程列表抓不到无文件。工具会比对主映像的可执行节与磁盘差异（排除基址重定位和 IAT 字节），看非映像可执行内存和线程起点，再结合已加载模块和签名。命中不直接下结论，写“需区分注入、热补丁与解包”。

把缺口写在首页

权限不够、日志没开、进程路径取不到、内存读不完整——这些会直接摆在首页“检查缺口”里，而不是藏进附录。一次“没发现问题”的检查，如果缺口很大，结论应该是“检查不完整”，而不是“安全”。

06 怎么用

图 5 · 主界面：回溯时间、输出目录、采集日志，都在一屏里

下载：https://github.com/WenQuSec/YingJiLite/releases/latest

管理员运行 YingJiLite.exe，选回溯时间，点“一键检查”。检查通常几分钟，取决于文件数量、权限和机器负载。

适合谁：一线做应急的、驻场的、以及自己电脑最近有点不对劲但又说不清的人。它不替你做判断，只把判断需要的材料摆整齐。

命令行也可以：

# 默认回溯 72 小时，报告输出到指定目录
.\\YingJiLite.exe --scan C:\\IR-Reports

# 离线回放：拿已有证据重跑关联，不接触现场
.\\YingJiLite.exe --scan C:\\IR-Replay C:\\Evidence\\evidence.json

输出目录长这样：

桌面\\应急轻报告\\IR-20261014-161322-7a598520\\
├─ report.html              # 给人看的报告
├─ findings-detail.html     # 全部待核查对象
├─ persistence-pivots.html  # 持久化跳转
├─ network-evidence.html    # 独立网络证据
├─ response-plan.json       # 对象核验计划
├─ evidence.json            # 原始采集
├─ analysis.json            # 关联结果
└─ manifest.json            # 所有输出文件的 SHA-256

报告怎么读，就三句话：

08 地址

代码在这里，MIT：

https://github.com/WenQuSec/YingJiLite

个人副本：https://github.com/yishuizhe/YingJiLite

欢迎 issue，尤其是两种：“这条规则误报了” 和 “这个场景没覆盖到”。前者帮我们少吓人，后者帮我们少漏人，目前针对银狐做了优化，攻防场景中还未有大量测试样本。

工具不大，能省下的那两小时是真的。

问渠安全实验室 · 渠汇百川，智守方圆