2024windows安全常用排查命令集

Windows常用排查命令集目錄TOC\o"1-1"\h\u8901一、賬號(hào)安全 324856二、檢查異常端口進(jìn)程 528172三、啟動(dòng)項(xiàng)檢查 68087四、查看系統(tǒng)定時(shí)任務(wù) 712597五、查看系統(tǒng)服務(wù) 815176六、文件查看 9賬號(hào)安全queryuser查看當(dāng)前登錄賬戶logoffID注銷(xiāo)用戶idnetuser查看用戶netuserusername查看用戶登錄情況lusrmgr.msc打開(kāi)本地用戶組regedit注冊(cè)表查看賬戶，確認(rèn)系統(tǒng)是否存在隱藏賬戶利用LogParser.exe查看event日志，查詢用戶登錄情況LogParser.exe-i:EVT"SELECTTimeGenerated,EXTRACT_TOKEN(Strings,5,'|')ASUSERNAME,EXTRACT_TOKEN(Strings,5,'|')ASSERVICE_NAME,EXTRACT_TOKEN(Strings,5,'|')ASClient_IPFROM'C:\Users\haha\Desktop\Security.evtx'WHEREEventID=4624"LogParser.exe日志分析工具更多用法可參考：/drops/windows%E5%AE%89%E5%85%A8%E6%97%A5%E5%BF%97%E5%88%86%E6%9E%90%E4%B9%8Blogparser%E7%AF%87.html二、檢查異常端口進(jìn)程查看目前連接：netstat-ano一般是查看已經(jīng)成功建立的連接：netstat-ano|findstr"ESTABLISHED"根據(jù)pid定位程序名稱tasklist|findstr"pid"運(yùn)行中輸入msinfo32，可打開(kāi)系統(tǒng)信息，在“正在運(yùn)行任務(wù)”中可獲取進(jìn)程詳細(xì)信息，包括進(jìn)程的開(kāi)始時(shí)間、版本、大小等信息。根據(jù)端口查看pidnetstat-ano|findstr"8080"利用wmic查看進(jìn)程執(zhí)行時(shí)的命令Wmicprocesswherename='irefox.exe'getname,Caption,executablepath,CommandLine,processid,ParentProcessId/valueWmicprocesswhereprocessid='2040'getname,Caption,executablepath,CommandLine,processid,ParentProcessId/value三、啟動(dòng)項(xiàng)檢查msconfig查看系統(tǒng)啟動(dòng)項(xiàng)查看注冊(cè)表是否有異常啟動(dòng)項(xiàng)HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonce四、查看系統(tǒng)定時(shí)任務(wù)Cmd下運(yùn)行schtasks（win7系統(tǒng)利用at），查看定時(shí)任務(wù)C:\Windows\System32\Tasks查看任務(wù)清單刪除任務(wù)計(jì)劃建議刪除任務(wù)計(jì)劃時(shí)以管理員登錄SchTasks/Delete/TN任務(wù)計(jì)劃名稱五、查看系統(tǒng)服務(wù)Services.msc刪除服務(wù)可從任務(wù)管理器中手動(dòng)刪除，也可使用命令：scstop[服務(wù)名稱]停止服務(wù)后，scdelete[服務(wù)名稱]刪除服務(wù)六、文件查看查看最近打開(kāi)的文