本文主要是介绍windows系统应急响应排查手册，对大家解决编程问题具有一定的参考价值，需要的程序猿们随着小编来一起学习吧！

windows系统应急响应排查手册

windows运行常用命令

eventvwr     //系统登陆日志
lusrmgr.msc  //系统用户查看
msconfig     //系统启动项查看
ncpa.cpl     //网络连接
firewall.cpl //防火墙状态
taskschd.msc //定时任务

系统安全登陆日志

eventvwr

• 4624表示登陆成功
• 4625表示登陆失败

系统日志

• 41 kernel-power 计算机蓝屏

系统用户排查

net user     //无法看到$隐藏用户
lusrmgr.msc
regedit.msc  //machine->sam该项->权限->替代所有子对象的权限项目

net user

net user
net user 用户 //查看用户详细信息

lusrmgr.msc

lusrmgr.msc

regedit

regedit

启动项排查

msconfig->services.msc->服务属性
regedit->machine->microsoft->windows->currentversion->run

msconfig

msconfig->services.msc->服务属性
SC delete 服务名
//启动服务删除

regedit->machine->microsoft->windows->currentversion->run

定时任务

计算机->属性->管理
控制版面->管理工具->计划任务
taskschd.msc

计算机->属性->管理

控制版面->管理工具->计划任务

taskschd.msc

进程排查

任务管理器
tasklist

任务管理器

tasklist

tasklist /svc

网络状态排查

netstat -ano

netstat -anob

pid定位

tasklist | find "pid"
wmic process get name,executablepath,processid | find 进程pid
wmic process where name="powershell.exe"

tasklist | findstr "pid"

wmic process get name,executablepath,processid | find 进程pid

wmic process where name="powershell.exe"

这篇关于windows系统应急响应排查手册的文章就介绍到这儿，希望我们推荐的文章对大家有所帮助，也希望大家多多支持为之网！