不用外部工具 教你快速检查电脑是否中毒 (不用外部工具的电脑)

从事应急响应工作几年之后,我认为总结一份快速确定 计算机 是否被感染木马和病毒的“方法论”是十分有用的。这显然不是那么简单的,可我却发现感染几乎存在于所有不复杂的攻击中,如果你执行了以下检测,便可发现存在感染并快速杀掉它。 所有这些事情都可以由一个建立于Windows命令行功能的管理员命令提示符完成。

不用外部工具,教你快速检查电脑是否中毒 IT业界 第1张

1、WMIC启动项(WMIC Startup Items)

Windows已经有一个非常强大的工具——WMIC,在以下几种方式中较容易为你的调查建立启动项。只需打开一个命令提示符,然后输入【wmic startup list full】。这是一个真实的例子,猜一下哪个 项目 不属于其中,会是本地\临时文件夹吗?是的。如果你知道应该在列表中的东西以及一般正常运行的位置,你就能在这里暂停,通常这都非常简单。找到程序,然后在malwr.com或者VirusTotal上查找它的散列,看看它有没有感染了其他什么,然后删除。

不用外部工具,教你快速检查电脑是否中毒 IT业界 第2张

2、DNS缓存(DNS Cache)

打开命令提示符,并输入【ipconfig/displaydns】。看看这些待反测的区域,有没有任何的异常现场?在VirusTotal或者其他地方寻找他们解析的 域名 及IP,看是否有与之相连的样本。如果有,那么你肯定被感染了。这里有一个现成的例子:

不用外部工具,教你快速检查电脑是否中毒 IT业界 第3张

3、WMIC进程列表(WMIC Process List)

这是WMIC另一个受欢迎的项目,输入【wmic process list full|more】,或者更紧凑但是更长的输出【wmic process get description,processed,parentprocessid,commanline/format:csv.】。寻找在奇怪地方运行的东西或者恶意、随机、名称怪怪的程序。

不用外部工具,教你快速检查电脑是否中毒 IT业界 第4张

4、WMIC服务列表(WMIC ServIce List)

如果你不清楚自己在寻找什么,那这个用起来可能比较困难。但是检测方便并且容易通过路径或者exe名称发现恶意 软件 。格式与其他的相似,或者你也可以得到更具体“get”版本。输入【wmic service list full| more】或者【wmic service get name,processid,startMode,state,status,pathname /format:csv】。这里有个小例子展示了只有服务名称和路径的情况。

不用外部工具,教你快速检查电脑是否中毒 IT业界 第5张

5、WMIC工作列表(WMIC Job List)

这是个看起来最不可能发现任何东西的项目,因为绝大多数恶意软件都不用jobs,但是在例如MPlug的一些版本中,是很容易检测出的。输入【wmic job list full】,你能够获得一个【没有可用实例】的回执,这就意味着没有已安排的项目在执行。

莫忘记基础,如果IP是 谷歌 或者stealyourbanknumber.su.【netstat -abno】的,输出可能需要搜索来查看,即使这样可以还是寻找奇异的外部站点端口号码,如25、8080、6667等等。

Netstat控制如下:

-a 显示所有连接和监听端口-b 显示参与创建每个连接或者监听端口的可执行文件-n 以数字形式显示地址和端口号码-o 显示拥有的每个与链接相关的进程ID7、批处理文件版本

用一种简单可重复的方式完成这些WMIC东西并生成一份报告,怎么样呢?我已经有了。把东西都丢到一个批处理文件中,然后设置一个主机名参数,你甚至能够在全网中使用它——获得其他计算机的适当权限,方便进行远程评估。

这个脚本可以让你更清楚的了解HTML格式的输出,其中包括了你从 电脑 中获取的信息:

wmic /node:%1 computersystem get model,name,username,domain /format:htable > c:\triage-%1.htmlwmic /node:%1 startup list full /format:htable >> c:\triage-%1.htmlwmic /node:%1 process get description,processid,parentprocessid,commandline /format:htable >> c:\triage-%1.htmlwmic /node:%1 service get name,processid,startmode,state,status,pathname /format:htable >> c:\triage-%1.htmlwmic /node:%1 job list full /format:htable >> c:\triage-%1.html

来源: 松松科技 QQ/微信:lusongsong7

代理松松云可增加3个业务 帮您快速开拓市场,吸引用户了解详情

本文地址: https://www.gpxz.com/article/abced578943ce4f27833.html
全局中部横幅
全局中部横幅
古文学习网

古文学习网专注于学习中国古代古典文学,古文名篇名句大全的国学经典网站。包含文言文翻译赏析,精选唐诗宋词元曲三百首全集古诗词300首鉴赏大全,方便让古诗文爱好者获取相关资料。

振动设备生产厂家

专注从事生产振动筛设备,振动机械系列产品的生产制造厂家,主营产品有:直线筛、振动筛、旋振筛、摇摆筛等系列产品。联系电话:15893870972。

集翔网

集翔网是一家聚焦于亿元级企业的产融结合加速服务平台,为企业提供资本、人才、市场、创新、合规、招商六大全价值加速服务,陪跑企业高速增长高质量发展。集翔网企业加速平台通过“产业+投资+平台”的形式构建生态链打造一站式加速服务系统,为电商、农业、科技、健康四大领域企业加速发展。

耐撞配件

彩塘镇耐撞配件制品厂经营部门户网站--耐撞配件:主要展示为橡胶防撞板,多功能防撞条,汽车防撞护板,陶瓷防撞盘等产品介绍和使用方法。!

甘肃省高速公路服务集团有限公司

甘肃省高速公路服务集团有限公司(简称“甘肃高服集团”),是经甘肃省公路交通建设集团有限公司批准组建的全资子公司,作为甘肃公交建集团公路服务产业链的主力军,是甘肃省唯一一家现代化、专业化服务区管理集团,承担着全省高等级公路服务区经营管理和服务保障、路域广告资源开发、新能源建设、生态环保业务、机电维护与信息化产品服务、加油(气)站合作经营与服务保障等职能

青岛公司注册

百胜财税是青岛本土知名的财税服务公司,服务包括:青岛公司注册,青岛代理记账,公司变更,公司注销,记账报税,青岛商标注册,进出口权代办,食品经营许可代办等服务,您可信赖的财税服务机构。

斜铁,斜垫铁,垫铁

泊头市斜铁厂专业经营各种斜铁及机床垫铁,调整垫铁,防震垫铁等,型号齐全,价格优廉,欢迎广大新老客户前来咨询.热线:13785782506

利宝保险有限公司

利宝保险有限公司创立于1912年的世界500强企业,主营财产保险,家庭保险,汽车保险,车险,意外险,商业保险.中国总部位于重庆,在北京,浙江,广东,山东,四川,云南,河南,河北,陕西,天津都有分公司。是全球公认的职业健康与安全服务研究的领导者!利宝保险咨询电话:400-888-2008

医倍达生物科技有限公司

医倍达生物科技有限公司(以下简称“Healthfuture”)是国内一家知名的专业从事高端生物耗材研发、生产和销售的综合性企业,致力于为全球客户提供分子诊断、细胞培养、免疫治疗等方面的高品质耗材及定制化服务。

IC人才招聘专业人才求职招聘平台

IC招聘网(www.iczhaopin.com)是IC行业专业人才招聘、应聘平台。

芒果航空集团股份有限公司【官网】

芒果航空集团股份有限公司是经政府相关部门批准、国家市场监督管理总局核准成立的一家大中型股份制航空企业,前身为江西省芒果航空股份有限公司,公司成立于2023年7月20日。股改后芒果航空集团股份有限公司成为国有控股集团公司。

全局底部横幅