Windows應急響應常識
阿新 • • 發佈：2018-10-23
net use nas klist 使用 訪問 審計 use ref 緩存
Windows 應急響應
常見事件ID
- 1102 清理審計日誌
- 4624 賬號登陸成功
- 4625 賬號登陸失敗
- 4672 授予特殊權限
- 4720 創建用戶
- 4726 刪除用戶
- 4728 將成員添加到啟用安全的全局組中
- 4729 將成員從安全組移除
- 4732 將成員添加到啟用安全的本地組中
- 4733 將成員從啟用安全的本地組移除
- 4756 將成員添加到啟用安全的通用組中
- 4757 將成員從啟用安全的通用組中移除
- 4719 系統審計策略修改
常見登陸類型
- 2 交互式登陸（用戶從控制臺登陸）
- 3 網絡 （比如通過net use，訪問共享網絡、共享文件夾）
- 4 批處理 （計劃任務）
- 5 服務啟動 （服務啟動時，win會先創建一個新的登陸會話）
- 6 不支持
- 7 解鎖 （鎖屏解鎖）
- 8 網絡明文 （IIS服務器登陸驗證）
- 9 新憑證 （使用帶
/netonly參數的runas命令允許程序時） - 10 遠程交互 （終端服務、遠程桌面、遠程輔助）
- 11 緩存域證書登陸
命令
netstat -ano | more
tasklist | findstr "xxx"
systeminfo
net user
net user admin
Reference
http://www.freebuf.com/vuls/175560.html
Windows應急響應常識