Skip to content

Commit 0187e9f

Browse files
jiushilljiushill
authored
Add files via upload
1 parent e01adbd commit 0187e9f

20 files changed

Lines changed: 490 additions & 0 deletions

‎Windows系统安全事件应急响应/README.md‎

Lines changed: 98 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,98 @@
1+
### 根据某文章的思路写出来的脚本 ###
2+
- [x] 查看windows日志
3+
- [x] 查看windows所用的用户
4+
- [x] 查看网络连接
5+
- [x] 查看进程
6+
- [x] 查看dump_file的路径
7+
- [x] 列出各个开机自启的注册表信息和开机自动的文件夹下的文件
8+
- [x] 列出所有服务
9+
- [x] 列出计划任务
10+
- [x] 列出最近访问的文件
11+
12+
参考文章：https://xz.aliyun.com/t/2524
13+
14+
conf/config.py说明:
15+
```python
16+
#windows事件id
17+
id={
18+
'2':'交互式登录（用户从控制台登录）',
19+
'3':'网络（例如：通过net use, 访问共享网络）',
20+
'4':'批处理（为批处理程序保留）',
21+
'5':'服务启动（服务登录）',
22+
'6':'不支持',
23+
'7':'解锁（带密码保护的屏幕保护程序的无人值班工作站）',
24+
'8':'网络明文（IIS服务器登录验证）',
25+
'10':'远程交互（终端服务，远程桌面，远程辅助）',
26+
'11':'缓存域证书登录',
27+
'1102':'清理审计日志',
28+
'4624':'账号成功登录',
29+
'4648':'使用明文凭证尝试登录',
30+
'4625':'账号登录失败',
31+
'4768':'Kerberos身份验证（TGT请求）',
32+
'4769':'Kerberos服务票证请求',
33+
'4776':'NTLM身份验证',
34+
'4672':'授予特殊权限',
35+
'4720':'创建用户',
36+
'4726':'删除用户',
37+
'4728':'将成员添加到启用安全的全局组中',
38+
'4729':'将成员从安全的全局组中移除',
39+
'4732':'将成员添加到启用安全的本地组中',
40+
'4733':'将成员从启用安全的本地组中移除',
41+
'4756':'将成员添加到启用安全的通用组中',
42+
'4757':'将成员从启用安全的通用组中移除',
43+
'4719':'系统审计策略修改',
44+
'4778':'重新连接到一台 Windows 主机的会话',
45+
'4779':'断开到一台 Windows 主机的会话'
46+
}
47+
48+
#查找出特定的端口号,没有请留空
49+
port=''
50+
51+
#查找指定PID,没有请留空
52+
pid=''
53+
54+
55+
#开启启动注册表检测路径
56+
path={
57+
'"HKLM\Software\Microsoft\Windows\CurrentVersion\Runonce"',
58+
'"HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run"',
59+
'"HKLM\Software\Microsoft\Windows\CurrentVersion\Run"',
60+
'"HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\Run"',
61+
'"HKCU\Software\Microsoft\Windows\CurrentVersion\Run"',
62+
'"HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce"'
63+
}
64+
65+
#计划任务文件夹的配置
66+
tasks_path={
67+
'C:\\Windows\\System32\Tasks\\',
68+
'C:\\Windows\\SysWOW64\Tasks\\',
69+
'C:\\Windows\\tasks\\'
70+
}
71+
```
72+
73+
需要安装的第三方模块
74+
```python
75+
winreg
76+
python-evtx
77+
```
78+
79+
### 使用截图 ###
80+
![](https://s2.ax1x.com/2019/06/23/Z9jv3q.png)
81+
82+
![](https://s2.ax1x.com/2019/06/23/Z9vk59.png)
83+
84+
![](https://s2.ax1x.com/2019/06/23/Z9vV81.png)
85+
86+
![](https://s2.ax1x.com/2019/06/23/Z9vZgx.png)
87+
88+
![](https://s2.ax1x.com/2019/06/23/Z9vev6.png)
89+
90+
![](https://s2.ax1x.com/2019/06/23/Z9v15d.png)
91+
92+
![](https://s2.ax1x.com/2019/06/23/Z9v8PA.png)
93+
94+
![](https://s2.ax1x.com/2019/06/23/Z9vG8I.png)
95+
96+
![](https://s2.ax1x.com/2019/06/23/Z9vYxP.png)
97+
98+
<b>希望对各位运维有所帮助</b>

‎Windows系统安全事件应急响应/conf/__pycache__/config.cpython-37.pyc‎

1.96 KB
Binary file not shown.

‎Windows系统安全事件应急响应/conf/config.py‎

Lines changed: 55 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,55 @@
1+
#windows事件id
2+
id={
3+
'2':'交互式登录（用户从控制台登录）',
4+
'3':'网络（例如：通过net use, 访问共享网络）',
5+
'4':'批处理（为批处理程序保留）',
6+
'5':'服务启动（服务登录）',
7+
'6':'不支持',
8+
'7':'解锁（带密码保护的屏幕保护程序的无人值班工作站）',
9+
'8':'网络明文（IIS服务器登录验证）',
10+
'10':'远程交互（终端服务，远程桌面，远程辅助）',
11+
'11':'缓存域证书登录',
12+
'1102':'清理审计日志',
13+
'4624':'账号成功登录',
14+
'4648':'使用明文凭证尝试登录',
15+
'4625':'账号登录失败',
16+
'4768':'Kerberos身份验证（TGT请求）',
17+
'4769':'Kerberos服务票证请求',
18+
'4776':'NTLM身份验证',
19+
'4672':'授予特殊权限',
20+
'4720':'创建用户',
21+
'4726':'删除用户',
22+
'4728':'将成员添加到启用安全的全局组中',
23+
'4729':'将成员从安全的全局组中移除',
24+
'4732':'将成员添加到启用安全的本地组中',
25+
'4733':'将成员从启用安全的本地组中移除',
26+
'4756':'将成员添加到启用安全的通用组中',
27+
'4757':'将成员从启用安全的通用组中移除',
28+
'4719':'系统审计策略修改',
29+
'4778':'重新连接到一台 Windows 主机的会话',
30+
'4779':'断开到一台 Windows 主机的会话'
31+
}
32+
33+
#查找出特定的端口号,没有请留空
34+
port=''
35+
36+
#查找指定PID,没有请留空
37+
pid=''
38+
39+
40+
#开启启动注册表检测路径
41+
path={
42+
'"HKLM\Software\Microsoft\Windows\CurrentVersion\Runonce"',
43+
'"HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run"',
44+
'"HKLM\Software\Microsoft\Windows\CurrentVersion\Run"',
45+
'"HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\Run"',
46+
'"HKCU\Software\Microsoft\Windows\CurrentVersion\Run"',
47+
'"HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce"'
48+
}
49+
50+
#计划任务文件夹的配置
51+
tasks_path={
52+
'C:\\Windows\\System32\Tasks\\',
53+
'C:\\Windows\\SysWOW64\Tasks\\',
54+
'C:\\Windows\\tasks\\'
55+
}

‎Windows系统安全事件应急响应/modes/__pycache__/bootup_run.cpython-37.pyc‎

713 Bytes
Binary file not shown.

‎Windows系统安全事件应急响应/modes/__pycache__/memory_dump.cpython-37.pyc‎

464 Bytes
Binary file not shown.

‎Windows系统安全事件应急响应/modes/__pycache__/recent_query.cpython-37.pyc‎

511 Bytes
Binary file not shown.

‎Windows系统安全事件应急响应/modes/__pycache__/schtasks_query.cpython-37.pyc‎

536 Bytes
Binary file not shown.

‎Windows系统安全事件应急响应/modes/__pycache__/service_query.cpython-37.pyc‎

1.16 KB
Binary file not shown.

‎Windows系统安全事件应急响应/modes/__pycache__/services_query.cpython-37.pyc‎

816 Bytes
Binary file not shown.

‎Windows系统安全事件应急响应/modes/__pycache__/user_query.cpython-37.pyc‎

1.28 KB
Binary file not shown.

0 commit comments

Comments
 (0)