Windows 应急响应手册 v1.3 发布！

简介

大家好，《Windows 应急响应手册 v1.3》 发布啦！

下载链接在文末

本次更新添加了以下内容：

• 应急手册添加了目录
• 各个应急事件处置流程添加了流程图
• 各个应急事件处置流程添加了固定证据部分
• 添加 pathext 环境变量排查
• 添加 Windows 平台路径存在空格可能带来的劫持排查
• 添加 NTFS 备用数据流(ADS)检查
• 添加 Windows Sandbox 检查

本次更新完善了以下内容：

• 完善近期活动部分内容
• 完善杀毒软件排查部分注意事项
• 完善善后阶段

本次更新修复了以下内容：

• 修复了手册引用内容复制乱码、搜索不到的问题

  这部分并未完全修复，本质原因是字体中缺少某些中文字符

• 修复了部分注册表错误

• 删除部分失效链接

• 修复了部分文字错误

大家的反馈对这本手册的发展很重要，我们将大家的反馈信息列表放在了下面，我们将下载链接放在文末就是希望大家可以看到提供反馈的用户以及具体反馈的内容，也是我们对于反馈的朋友们的公开回复，感谢大家反馈～

更新日记

用户反馈列表

37.  重复内容较多

38.  没有对应的练习环境

39.  Windows 路径空格问题排查

40.  如何保护现场

41.  rundll32 具体运行了哪些dll

42.  修改 pathext 是否可以将其他后缀当exe 执行

43.  完善挖矿病毒处置流程

44.  添加域控的应急排查

45.  安芯网盾的在线查杀网址失效

46.  绿盟威胁分析中心网址失效

47. 勒索病毒章节-根据勒索病毒类型寻找解决方法中文字错误【文字错误】

48. 勒索病毒章节-根据勒索病毒类型寻找解决方法中文字错误【文字错误】

49. 善后阶段-添加RDP可以直接登录的服务器

50. 常规安全排查-添加各安全软件的例外（排除）列表

51. 常规安全排查- NTFS备用数据流检查(ADS)

52. 手册搜索乱码+引用字符无法搜索到

53. 添加 Windows Sandbox 状态检查

54. 敏感文件夹检查-垃圾桶目录

55. AppCertDlls 注册表路径缺少空格

56. 近期活动-MUICache添加 Vista之前注册表路径

57. 近期活动-Jump List添加应用自定义的跳转项

58. 189页文字错误

59. 各个事件处置流程添加流程图

60. 添加目录

1. 寻找恶意样本部分 【文字错误】

2. 威胁分析部分 【平台名称错误】

3. 添加 OpenArk 工具

4. 添加 Defender 日志

5. 添加二进制文件执行日志

6.  完善部分 Windows 事件及 ID

7.  谁决定计划任务的执行结果部分【文字错误】

8. 添加痕迹查看工具

9. 完善小技巧查找文件部分

10. 添加深信服僵尸网络查杀工具

11. 添加 SQL Server 应急分析

12. 完善二进制程序校验逻辑

13. 修改 powershell 为 Powershell 【美化】

14. 添加 beaconEye 工具

15. 新建 Windows 近期活动检查项

16. 添加 360系统急救箱

17. 添加文件时占用强制删除

18. 添加使用沙箱

19. 添加 Rookit 的排查应急

20. 建议给pdf增加目录

21. 手册显示空白&不显示目录导航

22. 完善二进制校验脚本

23. 添加勒索病毒相关处理逻辑

24. 添加修改 hosts 文件的示例

25. 手册无法搜索

26. 杀死进程树部分【文字错误】

27. 增加隧道处置流程

28. 勒索病毒处置部分【文字错误】

29. 添加日志分析工具 —— FullEventLogView

30. 添加文本对比工具

31. 添加应用系统和中间件的暴力破解

32. 添加流量监控工具

33. 添加内网文件传输工具

34. 添加证书排查

35. 添加钓鱼排查流程

36. 添加 badusb 类事件排查流程

下载地址

Hashmd5:f034e553c65c6edd8fdaa1b38d89cda3sha-256:8fd9426884aab1e903edf3e051f5ad1f8af95a4a9a8ce130122cdf64b41a2a1f

往期文章