1. 项目概述：当安全警报响起时
“应急响应”这四个字，对任何一个运维、安全或者系统管理员来说，都意味着肾上腺素飙升的开始。它不是一个按部就班的日常任务，而是一场与时间赛跑、与潜在威胁对抗的“战斗”。无论是深夜接到告警电话，还是监控大屏上突然跳出的异常流量，那一刻，你需要的不只是知识，更是一套清晰、高效、可执行的行动指南。
这个项目，就是一份聚焦于Windows和Linux两大核心操作系统的现场排查笔记。它不是一份面面俱到的理论教材，而更像是一位老兵的“战场急救包”。里面记录的，是当系统出现被入侵迹象、服务异常、性能骤降或出现不明进程时，你应该按什么顺序、用什么工具、看哪些地方。目标很明确：快速定位问题根因，遏制影响范围，收集证据，并尽可能恢复业务。无论是处理挖矿木马、网站篡改、数据泄露，还是单纯的配置错误导致的故障，这套思路都能为你提供一个坚实的起点。
2. 核心思路与排查框架设计
应急响应切忌无头苍蝇似的乱撞。一个清晰的框架能让你在高压下保持冷静，避免遗漏关键证据。我通常遵循的是经典的“PDCERF”模型（准备、检测、抑制、根除、恢复、跟进）中的“检测”与“抑制”环节，并将其落地为可操作的排查流。
2.1 通用排查流程：黄金四小时法则
在安全事件中，最初的几个小时至关重要，被称为“黄金时间”。我的核心思路可以概括为：“先存活，后诊断；先宏观，后微观；先易失，后持久”。
- 隔离与保活（存活）：在条件允许的情况下，首要任务不是深入分析，而是隔离受影响的主机（网络层面），并确保系统状态“冻结”，防止攻击者继续破坏或擦除痕迹。对于无法立即下线的核心业务，至少要进行网络流量限制。
- 信息收集（诊断）：这是排查的主体。遵循从整体到局部、从易失数据到持久化数据的顺序。
- 初步研判与抑制：基于收集的信息，快速判断事件类型（如挖矿、勒索、webshell），并采取临时抑制措施，如杀掉可疑进程、删除恶意文件、修改弱口令等。
- 深入分析与根除：在抑制后，进行更深入的分析，找到入侵根源（如利用的漏洞、初始攻击向量），并彻底清除后门。
- 恢复与加固：从备份恢复干净数据，修补漏洞，并加强安全配置。
本笔记主要聚焦于第2步（信息收集）和第3步（初步研判），这是技术排查中最核心的部分。
2.2 Windows 与 Linux 排查路径对比
虽然思路相通，但由于系统架构和生态不同，工具和关注点差异很大。
| 排查维度 | Windows 侧重点 | Linux 侧重点 | 核心目标 |
|---|---|---|---|
| 系统状态 | 事件查看器、任务管理器、资源监视器、netstat | top,htop,vmstat,iostat,ss/netstat | 快速发现CPU/内存/网络异常 |
| 进程与服务 | 任务管理器、tasklist、Get-Process、sc query | ps aux,pstree,systemctl status | 定位恶意进程、异常服务 |
| 网络连接 | netstat -ano,Get-NetTCPConnection | ss -tunlp,netstat -tunlp,lsof -i | 发现可疑外连、监听端口 |
| 自启动项 | 注册表（Run）、计划任务、服务、启动文件夹 | /etc/rc.local, systemd服务单元, cron计划任务 | 查找持久化后门 |
| 文件系统 | 最近修改文件、隐藏文件、ADS流、$MFT | find命令查找特定时间、权限、大小的文件 | 定位恶意软件、webshell |
| 用户与日志 | 安全日志、用户账户、远程登录日志（RDP） | /var/log/（secure, auth.log, messages）、last,who | 追踪攻击者行为、登录来源 |
| 内存分析 | 使用DumpIt、WinPMEM获取内存镜像 | 使用LiME、AVML获取内存镜像 | 提取进程、网络连接等易失证据 |
注意：在真实环境中，取证优先。如果事件可能涉及法律纠纷，在操作前应优先考虑制作完整的内存镜像和磁盘镜像，避免修改系统状态。本文侧重于“应急止血”场景下的快速响应。
3. Windows 系统深度排查实操指南
Windows系统因其图形化界面和复杂的后台机制，排查时需要点面结合。
3.1 快速威胁感知与系统状态检查
接到告警后，第一件事是远程或现场登录系统（如果还能登录的话），进行快速扫描。
1. 任务管理器（不仅仅是看CPU）：
- 进程页：排序查看CPU、内存、磁盘、网络占用率异常的进程。特别关注
cmd.exe、powershell.exe、wscript.exe、cscript.exe、mshta.exe等容易被利用的系统进程的实例数量及启动参数。右键“打开文件所在位置”可以快速定位程序路径。 - 性能页：观察网络利用率是否在无业务时异常偏高，可能存在数据外传或挖矿。
- 用户页：检查是否有非授权的远程用户登录。
2. 资源监视器（更详细的视角）： 比任务管理器更强大。在“概述”页可以一目了然地看到哪些进程在大量读写磁盘、访问网络。在“网络”页，可以查看每个进程建立了哪些远程连接，这对于发现反向shell或C2通信非常有效。
3. 事件查看器（日志宝库）： 这是Windows排查的核心。重点关注：
- Windows 日志 -> 安全：事件ID 4624（登录成功）、4625（登录失败）、4672（特权登录）、4688（进程创建）、5140（网络共享访问）。通过筛选这些ID，可以梳理出攻击者的登录时间、来源IP、创建的进程等关键时间线。
- Windows 日志 -> 系统：查看是否有异常的服务启动失败（事件ID 7034、7045）或驱动加载错误。
- 应用程序和服务日志：这里可能有杀毒软件、防火墙、特定应用的安全日志。
实操命令（管理员权限运行CMD或PowerShell）：
# 快速检查网络连接，定位可疑外连IP netstat -ano | findstr ESTABLISHED # 对比PID，在任务管理器中找到对应进程（需开启PID列） # PowerShell更强大的网络和进程查看 Get-NetTCPConnection | Where-Object {$_.State -eq "Established"} | Select-Object LocalAddress, LocalPort, RemoteAddress, RemotePort, OwningProcess | Format-Table Get-Process | Select-Id, ProcessName, Path | Format-Table3.2 进程、服务与持久化位置排查
攻击者为了保持访问，一定会设法持久化。
1. 进程深度分析： 使用tasklist /v或Get-WmiObject Win32_Process可以获取更详细的进程信息，包括命令行参数。可疑迹象：进程路径在临时目录（C:\Users\Public\、C:\Windows\Temp\）、名称伪装成系统进程（如svch0st.exe）、父进程异常。
2. 服务排查：
# 查看所有服务状态 sc query state= all # 查看某个服务的详细信息，包括可执行文件路径 sc qc "服务名"重点关注：服务描述为空、显示名称奇怪、可执行文件路径指向非标准目录的服务。
3. 自启动项全面检查： 这是持久化的重灾区，必须多路并进。
- 注册表：
HKCU\Software\Microsoft\Windows\CurrentVersion\RunHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunHKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run(64位系统上的32位程序)HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
- 计划任务：通过
taskschd.msc图形界面或schtasks /query /fo LIST /v命令查看。攻击者常在此部署定时任务。 - 启动文件夹：
C:\Users\<用户名>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup - 系统服务：如上所述。
- WMI事件订阅：高阶持久化手段，可使用
Get-WMIObject -Namespace root\Subscription -Class __EventFilter等命令检查。
4. 文件系统痕迹追踪：
- 查找近期修改的文件：可以使用Everything工具或命令快速搜索，例如查找最近3天内创建的
.exe,.dll,.vbs,.js,.jsp,.php等文件。 - 注意隐藏文件和Alternate Data Streams（ADS）：使用
dir /r查看ADS，恶意软件可能将自身隐藏在合法文件的ADS中。 - 浏览器历史记录与下载：检查
%LocalAppData%\Google\Chrome\User Data\Default\History等位置，看是否下载过可疑文件。
3.3 网络、用户与日志关联分析
1. 防火墙与网络规则：检查是否有异常入站或出站规则被添加。netsh advfirewall firewall show rule name=all。
2. 用户与组管理：检查是否有新增的隐藏用户、特权用户（如被加入Administrators组）。net user、net localgroup administrators。
3. 日志关联技巧： 假设在安全日志中发现事件ID 4688（新进程创建），其Process Name为C:\Windows\System32\cmd.exe，且Parent Process Name是C:\Program Files\Internet Explorer\iexplore.exe。这极不正常，可能是通过浏览器漏洞执行的攻击。你需要立即去检查同一时间点附近的网络连接（事件ID 5156）和进程访问日志，勾勒出攻击链。
Windows排查心得：善用PowerShell的管道和筛选能力，能极大提升效率。例如，将网络连接、进程、服务信息关联查询。图形化界面（如Process Explorer、Autoruns）在初步排查时更直观，但命令行工具（尤其是PowerShell）更适合批量化和自动化。
4. Linux 系统深度排查实操指南
Linux系统排查更依赖命令行，逻辑清晰，但需要对系统结构有较好理解。
4.1 系统资源与进程的实时监控
登录后，首先建立一个整体的资源消耗视图。
1. 快速总览：
# 综合查看CPU、内存、负载、进程，按F键选择排序字段 top # 或使用更友好的htop（需安装） htop # 查看系统负载和运行队列情况 uptime # 查看内存使用详情 free -h # 查看磁盘I/O状态 iostat -x 2 5如果发现某个陌生进程（如kinsing、xmr、minerd）长期占用大量CPU，挖矿木马的可能性极高。
2. 网络连接分析：netstat已逐渐被功能更强大的ss命令取代。
# 查看所有TCP/UDP监听端口及对应进程 ss -tunlp # 等价于 netstat -tunlp，但更快 # 查看所有已建立的连接 ss -tunp state established # 查找监听在异常端口（如非业务端口）的进程 ss -tunlp | grep -E ‘:(6666|7777|8888)\s’发现可疑的外连IP（如来自境外陌生地址），可以使用whois或威胁情报平台查询其信誉。
3. 进程树与关系：
# 以树状显示进程，便于看清父子关系 pstree -p # 查看特定进程的详细信息，包括其启动命令（cmdline） ps aux | grep [进程名或PID] cat /proc/[PID]/cmdline | xargs -0 echo恶意进程常常会fork子进程或守护自身，通过进程树可以发现异常分支。
4.2 文件系统与隐藏痕迹搜寻
Linux下，攻击者常用的藏身之处和工具需要重点检查。
1. 查找可疑文件：
# 查找最近3天内被修改的文件（从根开始，但通常先查关键目录） find / -type f -mtime -3 2>/dev/null | head -50 # 查找权限异常的文件（如设置了SUID位，普通用户执行时拥有文件所有者权限） find / -perm -4000 -type f 2>/dev/null # 查找所有可写的目录（攻击者可能在其中上传或修改文件） find / -type d -perm -o=w 2>/dev/null | grep -v /proc # 在Web目录中查找webshell（特征：eval, base64_decode, system等） find /var/www/ -name “*.php” -exec grep -l “eval(.*base64_decode” {} \;2. 检查关键目录：
/tmp,/dev/shm：临时目录，常被用作恶意软件的中转或运行场所。/etc/cron.*,/var/spool/cron/：计划任务目录，必须检查是否有非root用户添加的任务。/root/.ssh/,/home/*/.ssh/：检查authorized_keys文件是否被添加了攻击者的公钥。/etc/passwd,/etc/shadow：检查是否有新增的、UID为0（root权限）的非标准用户。
3. 检查动态链接库劫持： 查看/etc/ld.so.preload文件，如果存在且内容可疑，它会预加载恶意so库。使用strace命令跟踪进程的系统调用，有时也能发现其加载了异常的库。
4.3 用户、日志与历史命令审计
1. 用户登录信息：
# 查看当前登录用户 who # 查看历史登录记录（成功/失败） last lastb # 查看所有用户最后一次登录时间 lastlog2. 系统日志分析： 日志集中在/var/log/。
/var/log/secure或/var/log/auth.log：认证相关日志的黄金源。记录SSH登录成功/失败、sudo提权等。仔细查看是否有来自陌生IP的大量失败或成功登录。/var/log/messages或/var/log/syslog：系统通用日志。/var/log/cron：计划任务执行日志。/var/log/audit/audit.log：如果开启了auditd审计服务，这里有更详细的进程、文件访问记录，是溯源利器。
3. 历史命令与操作痕迹：
# 查看当前用户的命令历史 history # 查看其他用户的命令历史（需权限） cat /home/[用户名]/.bash_history攻击者在入侵后可能会执行history -c清空历史，但有时会遗漏。此外，检查.viminfo,.mysql_history等文件也可能发现线索。
4. 网络层排查：
# 查看防火墙规则（iptables） iptables -L -n -v # 或 firewalld firewall-cmd --list-all # 抓取特定端口的流量（用于深度分析） tcpdump -i eth0 port 80 -w http.pcapLinux排查心得：
grep,awk,sed三剑客是日志分析和数据筛选的灵魂。例如，grep “Failed password” /var/log/secure | awk ‘{print $11}’ | sort | uniq -c | sort -nr可以快速统计出哪些IP在暴力破解，并排序。将常用排查命令写成脚本，能极大提升响应速度。
5. 常见攻击场景与专项排查技巧
在实际应急中，很多事件有共性。这里针对几种高频场景，提供更聚焦的排查思路。
5.1 场景一：CPU占用率100% – 挖矿木马
现象：服务器卡顿，top查看发现未知进程（如kinsing、xmrig、minerd）占用大量CPU。
排查步骤：
- 定位进程：
top找到PID和进程路径。 - 终止进程：
kill -9 [PID]。但通常它会由守护进程或定时任务重启。 - 清除文件：删除进程对应的可执行文件。注意使用
ls -la查看是否有隐藏文件。 - 清除持久化：
- 检查定时任务：
crontab -l（当前用户），ls -la /etc/cron*，cat /etc/crontab，以及/var/spool/cron/目录下的所有用户任务。 - 检查系统服务：
systemctl list-unit-files | grep enabled，查看是否有可疑服务。检查/etc/systemd/system/和/lib/systemd/system/下的服务单元文件。 - 检查启动脚本：
/etc/rc.local,/etc/init.d/。 - 检查特权文件：
find / -perm -4000 -type f 2>/dev/null，挖矿木马常会设置SUID权限。
- 检查定时任务：
- 检查网络连接：
ss -tunp查看该进程是否连接矿池地址。 - 检查用户与密钥：检查
/root/.ssh/authorized_keys是否被添加。 - 排查入侵根源：检查Web日志、应用漏洞（如Redis未授权、Docker API暴露、SSH弱口令等）。
5.2 场景二：网站被篡改 – Webshell后门
现象：网站首页被替换，或网站目录下存在可疑脚本文件。
排查步骤：
- 定位恶意文件：
- 使用
find命令在Web目录按时间、特征查找：find /var/www/html -name “*.php” -mtime -1。 - 使用
grep搜索常见webshell函数：grep -r “eval($_POST” /var/www/html。
- 使用
- 分析文件内容：查看文件创建时间、修改时间、所有者。检查代码，看是否有加密、混淆。
- 检查文件权限：Web目录下的文件不应有777权限。
find /var/www/html -perm -777 -type f。 - 检查服务器日志：
- Web访问日志（如Nginx的
access.log）：寻找在文件创建时间点附近的异常访问记录，特别是带有POST请求、参数异常长的记录。 - 系统认证日志：查看是否有同一时间段的异常登录。
- Web访问日志（如Nginx的
- 检查进程和网络：查看是否有
php、python等解释器进程在异常执行，并建立网络连接。 - 排查上传点：检查网站是否存在文件上传功能，是否存在漏洞。
5.3 场景三：日志中出现大量失败登录 – 暴力破解
现象：/var/log/secure中充满“Failed password”日志。
排查步骤：
- 立即封禁IP：使用
fail2ban或手动添加防火墙规则（iptables -A INPUT -s [攻击IP] -j DROP）。 - 分析攻击源：使用
awk/sort/uniq命令统计攻击IP和尝试的用户名。 - 检查成功登录：在失败日志中穿插寻找“Accepted password”事件，确认是否已被攻破。
- 检查后门：即使密码未破解，攻击者也可能通过其他漏洞（如Web漏洞）植入后门，需结合其他维度排查。
- 加固SSH：修改默认端口、禁用root登录、使用密钥认证、部署二次验证。
6. 工具链推荐与自动化脚本思路
工欲善其事，必先利其器。除了系统自带命令，一些专业工具能事半功倍。
6.1 高效工具推荐
- Linux:
rkhunter,chkrootkit: 经典的Rootkit检测工具，用于快速扫描已知后门和异常。Lynis: 系统安全审计工具，不仅能排查入侵，还能给出加固建议。ClamAV: 开源杀毒引擎，可用于扫描恶意文件。maldet(Linux Malware Detect): 专门检测Webshell和恶意脚本。pspy: 无需root权限，监听进程创建，用于发现短时存在的恶意进程。
- Windows:
Sysinternals Suite: 微软官方神器集。Process Explorer（进程管理）、Autoruns（自启动项）、Procmon（进程监控）、TCPView（网络连接）等，每一个都是排查利器。Volatility: 内存取证分析框架，专业且强大。Strings,PEiD: 分析可疑可执行文件。
- 跨平台/分析:
Wireshark: 网络流量深度分析。Elastic Stack(ELK): 如果日志量巨大，集中化日志分析平台是终极解决方案。
6.2 自动化排查脚本编写思路
对于需要批量检查多台服务器或希望将流程固化的情况，编写脚本非常有用。一个基本的Linux排查脚本框架如下：
#!/bin/bash # 应急响应快速收集脚本 v1.0 # 将输出重定向到文件：./ir_script.sh > investigation_$(hostname)_$(date +%Y%m%d_%H%M%S).log 2>&1 echo “=== 系统信息 ===" uname -a cat /etc/*-release echo -e “\n=== 当前时间与负载 ===" date uptime echo -e “\n=== 内存与磁盘使用 ===" free -h df -h echo -e “\n=== 网络连接 (ESTABLISHED) ===" ss -tunp state established echo -e “\n=== 监听端口 ===" ss -tunlp echo -e “\n=== 进程快照 (前20) ===" ps aux --sort=-%cpu | head -20 echo -e “\n=== 计划任务 ===" cat /etc/crontab echo “— User Crontabs —” for user in $(cut -f1 -d: /etc/passwd); do echo “### $user ###”; crontab -l -u $user 2>/dev/null; done echo -e “\n=== 最近7天修改的关键文件 ===" find /etc /bin /sbin /usr/bin /usr/sbin -type f -mtime -7 2>/dev/null echo -e “\n=== SUID/SGID 文件 ===" find / -type f \( -perm -4000 -o -perm -2000 \) -exec ls -la {} \; 2>/dev/null | head -50 echo -e “\n=== 历史登录 (成功) ===" last -n 20 echo -e “\n=== 历史登录 (失败) ===" lastb -n 20 2>/dev/null || echo “需要root权限查看lastb” echo -e “\n=== 收集完成 ==="脚本使用注意：此类脚本会遍历文件系统，可能对性能有短暂影响，请在业务低峰期运行。收集的信息包含敏感内容，需妥善保管。
7. 排查后的关键动作与反思
排查并清除恶意程序不代表事件结束。以下动作至关重要：
- 彻底根除：根据排查找到的入侵根源（如漏洞、弱口令），进行修补和加固。
- 恢复验证：从可信备份恢复被篡改或删除的业务数据/文件，并验证其完整性和功能性。
- 更改凭证：更改所有可能泄露的密码、密钥，包括系统账户、数据库、中间件等。
- 监控加强：在受影响系统及同类系统上加强监控，关注之前攻击者使用的IOC（失陷指标），如恶意IP、域名、文件HASH等。
- 事件复盘：撰写事件报告，记录时间线、攻击手法、影响范围、处置步骤、根本原因和整改措施。这是提升团队能力、避免重蹈覆辙的关键。
应急响应是一项对知识广度、深度和临场心态都有极高要求的工作。这份笔记是我多年经验的凝结，但真正的能力来源于一次次实战的锤炼。我的体会是，平时多积累、多演练，将排查步骤内化成肌肉记忆，才能在真正的警报响起时，做到忙而不乱，精准打击。最后分享一个习惯：每次应急响应后，我都会把用到的新命令、新思路更新到一个私人笔记里，这个不断迭代的“武器库”，是你最可靠的战友。
