检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检查“Autorun”列和“Images Path”列是否存在异常文件（非系统和正常业务部署创建文件）。 如果发现可疑进程，双击该进程名，可直接定位到注册表位置。可以在“Filter”中过滤可疑进程的名字。 图3 打开注册表编辑器 父主题： 方案一：工具溯源排查
检查是否存在异常用户。 命令：net user，查询用户信息。 查询命令：net user +用户名（如administrator），查询用户更改主机密码的时间。 查询命令：systeminfo，查询是否存在重启。
图4 网络ACL界面 选择“入方向规则”，检查是否有表1中的“协议端口”，找到其对应“策略”为“允许”且“源地址”为“0.0.0.0/0”的策略，如图5所示。 图5 检查网络ACL策略 如存在此类高危端口策略，您可以根据您的业务需求，在“操作”列中，选择“修改”或“删除”。
图4 Process Explore-Sysinternals 检查“VirusTotal”值，右键单击进程名称，选择“Properties”，在弹出的页面中，单击“Image”可查看进程路径，进而再次判断该进程是否是木马程序。
'{print $1}'|sort|uniq -c 图2 抓包分析结果 根据步骤3可知，图中被检查的设备正在对另一个IP地址发送数十个UDP长度为1460Byte的数据包，明显超出正常业务数据包的范畴，说明该设备正在被利用为UDP反射攻击的“放大器”对外攻击。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
