Windows應急響應常識

Windows 應急響應

常見事件ID

• 1102 清理審計日誌
• 4624 帳號登錄成功
• 4625 帳號登錄失敗
• 4672 授予特殊權限
• 4720 建立用戶
• 4726 刪除用戶
• 4728 將成員添加到啓用安全的全局組中
• 4729 將成員從安全組移除
• 4732 將成員添加到啓用安全的本地組中
• 4733 將成員從啓用安全的本地組移除
• 4756 將成員添加到啓用安全的通用組中
• 4757 將成員從啓用安全的通用組中移除
• 4719 系統審計策略修改

---

常見登錄類型

• 2 交互式登錄（用戶從控制檯登錄）
• 3 網絡 （好比經過net use，訪問共享網絡、共享文件夾）
• 4 批處理 （計劃任務）
• 5 服務啓動 （服務啓動時，win會先建立一個新的登錄會話）
• 6 不支持
• 7 解鎖 （鎖屏解鎖）
• 8 網絡明文 （IIS服務器登錄驗證）
• 9 新憑證 （使用帶/netonly 參數的runas命令容許程序時）
• 10 遠程交互 （終端服務、遠程桌面、遠程輔助）
• 11 緩存域證書登錄

---

命令

netstat -ano | more

tasklist | findstr "xxx"

systeminfo

net user

net user admin

Reference

http://www.freebuf.com/vuls/175560.html