应急响应篇_windows端口与进程排查

文章源自【字节脉搏社区】-字节脉搏实验室

作者-m9kj

定位established链接:

netstat -ano | findstr “ESTABLISHED” 获取正在链接的IP地址和进程信息

定位PID进程:

tasklist | findstr “pid”

然后通过wmi定位进程路径:

wmic process where “name=‘qq.exe’” get executablepath

最后对可疑的程序进程封禁

火绒-设置-IP协议控制-新建规则，对某个程序进程禁用网络

Eset是设置网络防护，高级设置，编辑规则，添加对某个应用禁用网络

对无签名程序进行VT查杀

首先验证签名状态（最好通过火绒剑）：

然后传送到vt查杀（点击submit）：

最后点击链接查看是否有威胁：

具体通过以上链接查看病毒是否释放等行为