检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
方案二：DOS系统命令排查 本章节介绍如何通过DOS系统命令进程排查。 常用命令 命令 作用 cd 切换目录。 当前目录：【./】(同级目录)可省略 上一级目录：【../】 上上一级目录：【../../】 dir /a:attrib 缺省包含所有文件（系统文件.隐含文件） more
查看主机是否存在异常进程。 查询命令：top 根据CPU占用率、进程名称等判断是否存在异常进程，如下可疑进程CPU占用率超过100%。 根据异常进程PID值，查看文件位置。 查询命令：lsof -p+进程PID值（如25267） 发现目录下的异常文件（带有xmr或mine的标识）。 查看文件命令：ll -art
本文档为您介绍两种Windows主机排查方法，推荐选择“工具溯源排查”的方法： 方案一：工具取证排查（推荐）：使用Windows官方的进程/链接/自启动分析工具进行排查。 使用工具取证排查方案时，建议如下软件工具： 表1 软件工具 工具名称 下载地址 ProcessExplorer https://docs
包。 执行以下命令，查看当前的网络连接与进程。 netstat -anpt 分析当前的网络连接与进程是否存在异常，建议利用netstat -anpt命令进行查看；若当前连接与进程已停止或被隐藏，可以利用抓包方式进行分析，需要安装tcpdump抓包工具。 执行以下命令抓包，分析UDP流量攻击。
排查过程 方案一：工具溯源排查 方案二：DOS系统命令排查 Windows主机安全加固建议 父主题： 主机安全排查（Windows操作系统）
图2 异常进程 查询发现此IP地址连接C&C。 C&C是指command-and-control命令与控制。简单来说就是一种机器与机器之间的通讯方式。 C＆C服务器是由攻击者的计算机将命令发送到受恶意软件入侵的系统，并从目标网络接收被盗的数据。 父主题： 主机面临的安全问题
方案一：工具溯源排查 步骤1：进程分析 步骤2：自启动分析 步骤3：网络分析 步骤4：异常用户分析 父主题： 排查过程
通过安全组对UDP端口进行限制，华为云用户可参见ECS配置安全组规则。 启动绑定本地监听IP，禁止对外访问、禁用UDP协议、启用登录认证。 调整应用程序中的一些参数，并且重启服务器达成禁用UDP的效果。 通过对业务历史报文数据的统计学习，建立正常业务包大小的正态分布图，由此可以清晰识别出超大或超小包攻击报文。
es”，在弹出的页面中，单击“Image”可查看进程路径，进而再次判断该进程是否是木马程序。 图5 判断是否为木马程序 父主题： 方案一：工具溯源排查
步骤2：自启动分析 该章节为您介绍如何通过Autoruns工具查看哪些程序被配置为在系统启动和登录时自动启动。 前提条件 推荐下载“Autoruns”工具。 操作步骤 打开“Autoruns”文件夹，双击“Autoruns.exe”文件。 图1 打开AutoRuns文件夹 在弹出的对话框中，单击“Agree”。
步骤3：网络分析 该章节为您介绍如何通过TCPView工具查看当前TCP连接状态，排查可疑进程，可疑进程一般用红色标记。 前提条件 推荐下载“TCPView”工具。 操作步骤 打开“TCPView”文件夹，双击“Tcpview.exe”文件，在弹出的对话框中，单击“Agree”。
步骤4：异常用户分析 该章节为您介绍如何分析异常用户。 操作步骤 打开“控制面板 > 管理工具 > 计算机管理”。 在左侧导航树中，选择“本地用户和组 > 用户”，查看主机是否存在异常用户。 在左侧导航树中，选择“本地用户和组 > 组”，检测组是否存在异常。 检测主机内的异常用户
内容包含欺骗性信息的电子邮件。 内容违反法律法规的电子邮件。 携带有病毒等有害信息的电子邮件。 垃圾邮件有哪些危害？ 电子邮件是当今社会的重要沟通工具之一，如果垃圾邮件泛滥将会对社会的稳定与发展产生严重影响： 降低通信质量：垃圾邮件占用大量网络带宽，影响网络传输速度，容易造成邮件服务器堵塞。
TCP：512-514 Linux rexec（远程登录） TCP：7778 Kloxo（虚拟主机管理系统） TCP：873 Rsync（数据镜像备份工具） TCP：8000 Ajenti（Linux服务器管理面板） TCP：1194 OpenVPN（虚拟专用通道） TCP：8069 Zabbix（系统网络监视）
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
