Windows DFIR手册-v1.0数字取证和应急响应 (2).pdfVIP

Windows DFIR手册

Digital Forensics and Incident Response

manual for Windows

v.1.0

知彼知己，百战不殆；不知彼而知己，一胜一负；不知彼，不知己，每战必殆.

——《孙子兵法·谋攻篇》

Copyrigth©2023DesyncInfoSec｜ChenXiaohui｜WindowsDFIR手册1

目录

1.事件响应流程4

1.1事件响应流程介绍4

1.2不同事件初步响应和处置7

1.2.1内网横向传播7

1.2.2CC通信9

1.2.3Blackholemaliciousdomainnames10

2.证据收集和提取12

2.1证据收集介绍12

2.2易失证据收集13

2.2.1系统运行相关13

2.2.2自启动项14

2.2.3内存提取15

3磁盘证据收集19

3.1分类收集19

3.1.1KAPE-KrollArtifactParserandExtractor19

3.1.2CyLR21

3.1.3卷影副本21

3.2磁盘镜像23

3.2.1FTKImager23

4.LIVE分析及响应27

4.2网络连接分析27

4.2进程分析29

4.3文件系统分析33

4.3.1Live分析33

4.3.2MFT分析36

4.4用户分析39

5.WINDOWS常见后门排查47

5.1AUTOSTARTLOCATIONS47

5.2WINDOWS服务48

5.3计划任务49

5.4DLL劫持52

5.4.1DLL搜索顺序劫持52

5.4.2Phantom(幽灵)DLL劫持53

5.4.3DLLSide-Loading53

5.5WMIWMI后门实现及取证分析54

5.5.1WMI简介54

5.5.2WMI后门实现54

5.5.3WMI后门取证分析56

Copyrigth©2023DesyncInfoSec｜ChenXiaohui｜WindowsDFIR手册2

6.入侵分析61

6.1凭据窃取61

6.1.1WindowsRDP弱口令确认61

6.2程序执行62

6.2.1PSReadLine62

6.2.2Prefetch64

6.2.3Shimcache67

6.2.4USNJournal68

6.3事件日志分析70

6.3.1Windows日志分析速查表70

6.3.2Windows