1. 標(biāo)題里的監(jiān)聽(tīng)先掰扯清楚觀測(cè)一個(gè)進(jìn)程到底在碰什么先澄清一個(gè)很容易被帶偏的點(diǎn)。標(biāo)題里的監(jiān)聽(tīng)程序不是指某個(gè)進(jìn)程在 socket 上 listen 端口而是指對(duì)目標(biāo)程序做監(jiān)聽(tīng)觀測(cè)——我想知道這個(gè) exe 從雙擊到退出這段時(shí)間里究竟動(dòng)過(guò)哪些文件、寫(xiě)過(guò)哪些注冊(cè)表、連過(guò)哪些地址、加載過(guò)哪些模塊。這是兩件完全不同的事前者是網(wǎng)絡(luò)編程后者是運(yùn)行時(shí)行為分析。這個(gè)需求在實(shí)際工作里出現(xiàn)得非常多。比如接手一個(gè)沒(méi)有源碼的第三方工具想知道它偷偷往哪寫(xiě)數(shù)據(jù)比如自己寫(xiě)的客戶(hù)端在某臺(tái)機(jī)器上啟動(dòng)就閃退但日志什么都沒(méi)打比如做軟件兼容性驗(yàn)證要確認(rèn)安裝包有沒(méi)有污染系統(tǒng)目錄比如做安全自查需要一份這個(gè)程序訪問(wèn)過(guò)什么的清單來(lái)交代。還有一類(lèi)場(chǎng)景是做性能排查——某個(gè)服務(wù)跑著跑著句柄數(shù)一路漲你得先知道它在開(kāi)什么才能判斷是泄漏還是正常業(yè)務(wù)。問(wèn)題的難點(diǎn)在于Windows 上資源這個(gè)概念遠(yuǎn)比大多數(shù)人想象的寬。文件是資源注冊(cè)表是資源但互斥體、事件對(duì)象、命名管道、共享內(nèi)存段、設(shè)備句柄、ALPC 端口同樣是資源甚至線程和進(jìn)程本身也是被句柄引用的資源。很多人第一次用工具抓了一遍以為自己看全了其實(shí)只看到了文件那一層剩下的全漏了。這篇文章就按資源分類(lèi)、觀測(cè)點(diǎn)選擇、工具實(shí)操、原生審計(jì)、網(wǎng)絡(luò)側(cè)、自動(dòng)化腳本、踩坑排查這條線把我這幾年反復(fù)用過(guò)的方法整理一遍。不管你是剛接觸這類(lèi)工具的新手還是已經(jīng)用過(guò)幾輪但總覺(jué)得結(jié)果對(duì)不上的老手應(yīng)該都能撈到點(diǎn)東西。2. 先把資源拆開(kāi)Windows 進(jìn)程的七類(lèi)可觀測(cè)對(duì)象2.1 為什么必須從內(nèi)核對(duì)象入手Windows 的進(jìn)程不直接持有資源它持有的是句柄。每個(gè)進(jìn)程在內(nèi)核里有一張句柄表表里每一行是句柄值 指向內(nèi)核對(duì)象的指針 訪問(wèn)權(quán)限掩碼。文件、注冊(cè)表鍵、事件、互斥體、管道、進(jìn)程、線程、節(jié)對(duì)象在內(nèi)核眼里全是對(duì)象全都掛在對(duì)象管理器那套統(tǒng)一命名空間下面比如\Device\HarddiskVolume3\...、\REGISTRY\MACHINE\...、\BaseNamedObjects\...、\Sessions\1\BaseNamedObjects\...。理解這一點(diǎn)非常關(guān)鍵因?yàn)樗鼪Q定了你后面所有工具的選擇。凡是能在句柄這一層做的觀測(cè)都是最接近真相的凡是只在用戶(hù)態(tài) API 上掛鉤子的觀測(cè)都天然存在被繞過(guò)、被漏掉的缺口。你看到工具里顯示C:\Users\xxx\AppData\Local\Temp\abc.tmp那是工具幫你把\Device\HarddiskVolume3\Users\...翻譯過(guò)來(lái)的結(jié)果遇到符號(hào)鏈接和重定向的時(shí)候這個(gè)翻譯過(guò)程本身就可能誤導(dǎo)你。2.2 七類(lèi)資源與常見(jiàn)誤判我把實(shí)際會(huì)碰到的資源分成七類(lèi)每類(lèi)都列一下最容易被忽略的點(diǎn)。資源類(lèi)別典型表現(xiàn)容易踩的坑文件與目錄CreateFile、ReadFile、WriteFile分不清 Reparse 重定向看到的路徑不是真實(shí)路徑注冊(cè)表RegOpenKey、RegQueryValue、RegSetValueWOW64 下Wow6432Node鏡像容易讀錯(cuò)分支網(wǎng)絡(luò)TCP/UDP 連接、綁定端口環(huán)回流量抓不到IPv6 與 IPv4 雙?；煜綄?duì)象互斥體、事件、信號(hào)量基本不體現(xiàn)在文件類(lèi)工具里需要句柄快照命名管道 / 郵件槽\\.\pipe\xxx在 Procmon 里長(zhǎng)得像文件事件容易被當(dāng)成磁盤(pán) IO進(jìn)程與線程O(píng)penProcess、CreateThread父進(jìn)程創(chuàng)建子進(jìn)程后行為斷鏈設(shè)備與驅(qū)動(dòng)\\.\PhysicalDrive0、\\.\Nul普通用戶(hù)權(quán)限下根本看不到第三類(lèi)里的環(huán)回流量是個(gè)經(jīng)典坑。很多程序內(nèi)部用 127.0.0.1 通信你用普通抓包工具在物理網(wǎng)卡上盯著什么都看不到因?yàn)榱髁扛緵](méi)出協(xié)議棧。這時(shí)候要么用支持 Npcap 環(huán)回適配的方式抓要么直接用內(nèi)置的pktmon。2.3 觀測(cè)點(diǎn)的三個(gè)層次決定了你能看到多少這是我認(rèn)為最值得先建立的心智模型。觀測(cè)點(diǎn)分三層能力各不相同。第一層是用戶(hù)態(tài) API 掛鉤。原理是在目標(biāo)進(jìn)程里把kernel32!CreateFileW、advapi32!RegQueryValueExW這類(lèi)函數(shù)的入口改成跳轉(zhuǎn)先記錄再轉(zhuǎn)發(fā)。優(yōu)點(diǎn)是信息豐富能拿到調(diào)用棧和參數(shù)原文缺點(diǎn)是只要程序直接用ntdll!NtCreateFile發(fā)系統(tǒng)調(diào)用或者自帶靜態(tài)鏈接的 CRT或者反調(diào)試檢測(cè)掛鉤你就抓瞎了。第二層是內(nèi)核回調(diào)與文件系統(tǒng)過(guò)濾驅(qū)動(dòng)。文件系統(tǒng)微過(guò)濾驅(qū)動(dòng)Minifilter掛在 IO 棧上所有文件操作無(wú)論從哪個(gè) API 發(fā)起都要經(jīng)過(guò)它覆蓋度最高。代價(jià)是驅(qū)動(dòng)本身要簽名、要加載和某些安全軟件的驅(qū)動(dòng)撞車(chē)時(shí)輕則丟事件重則系統(tǒng)卡死。很多商用 EDR 就在這一層工作你同時(shí)裝兩個(gè)出問(wèn)題不奇怪。第三層是ETWEvent Tracing for Windows。內(nèi)核和系統(tǒng)組件主動(dòng)把事件投遞給訂閱者開(kāi)銷(xiāo)低、穩(wěn)定性好、不需要注入任何東西適合長(zhǎng)時(shí)間開(kāi)著。缺點(diǎn)是可觀測(cè)的內(nèi)容取決于 provider 提供了什么粒度不如前兩層細(xì)比如想看這次 ReadFile 讀了多少字節(jié)到哪個(gè)緩沖區(qū)ETW 一般給不了。一個(gè)務(wù)實(shí)的組合是短時(shí)間深挖用 Procmon第二層長(zhǎng)時(shí)間在線監(jiān)控用 ETW 加 Sysmon第三層做合規(guī)留痕用系統(tǒng)原生審計(jì)第三層查內(nèi)存里的殘留用句柄快照第一層偏靜態(tài)。單一工具包打天下的想法試過(guò)就知道不成立。3. Process Monitor 抓一次完整的資源訪問(wèn)3.1 啟動(dòng)前的準(zhǔn)備與過(guò)濾器的正確寫(xiě)法Procmon 是目前單次分析場(chǎng)景下最順手的工具。第一次打開(kāi)的時(shí)候它會(huì)立刻開(kāi)始刷屏幾秒鐘就能跑到幾十萬(wàn)條事件所以先設(shè)過(guò)濾器再讓目標(biāo)程序啟動(dòng)這個(gè)順序不能反。啟動(dòng)方式必須是右鍵以管理員身份運(yùn)行。普通權(quán)限下很多事件直接看不到尤其是 SYSTEM 賬戶(hù)的操作。啟動(dòng)后會(huì)彈出過(guò)濾器設(shè)置窗口我的習(xí)慣是先點(diǎn) Reset 清空然后按下面的順序加條件Process Nameistarget.exeOperationisCreateFile注意這里是精確匹配不是模糊匹配寫(xiě)CreateFileW是匹配不到的因?yàn)?Procmon 用的是內(nèi)核層的操作名ResultisSUCCESS這里有個(gè)小技巧如果程序會(huì)拉起子進(jìn)程比如安裝程序、啟動(dòng)器只用 Process Name 過(guò)濾會(huì)漏掉子進(jìn)程的行為。穩(wěn)妥做法是在 Tools 菜單里打開(kāi)Enable Advanced Output這樣 Result 旁邊會(huì)多出 PID 列然后改用PIDis1234過(guò)濾或者干脆先不加進(jìn)程過(guò)濾抓完再按進(jìn)程名篩選。菜單里的幾個(gè)關(guān)鍵選項(xiàng)值得單獨(dú)說(shuō)Filter Drop Filtered Events默認(rèn)開(kāi)啟意思是被過(guò)濾掉的事件不進(jìn)內(nèi)存。抓長(zhǎng)時(shí)間的場(chǎng)景時(shí)建議保留開(kāi)啟否則內(nèi)存會(huì)被垃圾事件吃滿但如果你的過(guò)濾條件寫(xiě)窄了想事后放寬就必須關(guān)掉它因?yàn)楸粊G棄的事件找不回來(lái)了。Options History Depth控制內(nèi)存里保留多少事件寫(xiě) 0 表示全留在內(nèi)存不落盤(pán)。分析啟動(dòng)過(guò)程時(shí)我會(huì)設(shè)成 0 并配合 Backing File 落盤(pán)。Options Enable Boot Logging這個(gè)能捕獲開(kāi)機(jī)到登錄階段的驅(qū)動(dòng)加載和文件訪問(wèn)。排查開(kāi)機(jī)就藍(lán)屏或服務(wù)啟動(dòng)失敗時(shí)特別有用重啟后在 Procmon 里就能看到整個(gè)啟動(dòng)過(guò)程的事件流。注意Filter 里的 Operation 匹配是精確值Path 是唯一支持contains的字段之一。寫(xiě)過(guò)濾條件時(shí)不要想當(dāng)然Path 用contains而不是is因?yàn)橥暾窂教L(zhǎng)你幾乎不可能寫(xiě)全。3.2 讀結(jié)果三類(lèi)最有價(jià)值的事件抓到事件之后怎么讀比怎么抓更重要。我優(yōu)先看三類(lèi)。第一類(lèi)是結(jié)果是NAME NOT FOUND的事件。很多人第一反應(yīng)是這是錯(cuò)誤跳過(guò)恰恰相反這類(lèi)事件信息量最大。它代表程序主動(dòng)去探測(cè)了某個(gè)路徑只是沒(méi)找到。你能從里面看出程序的意圖它在找自己的配置文件、找某個(gè)運(yùn)行庫(kù)、找注冊(cè)表里的授權(quán)信息、找前一次運(yùn)行的緩存。如果一個(gè)惡意程序在往C:\Users\Public\下面找某個(gè)文件名那基本就是在確認(rèn)自己之前是否落地過(guò)。分析的時(shí)候把這類(lèi)事件單獨(dú)導(dǎo)出價(jià)值很高。第二類(lèi)是帶REPARSE或路徑明顯異常的事件。比如路徑里出現(xiàn)\Device\HarddiskVolumeShadowCopy說(shuō)明程序在訪問(wèn)卷影副本出現(xiàn)\ProgramData\Package Cache說(shuō)明在處理安裝緩存出現(xiàn)\Windows\SysWOW64說(shuō)明是 32 位進(jìn)程在被重定向。這些都需要結(jié)合上下文判斷不能光看表面路徑。第三類(lèi)是寫(xiě)入類(lèi)操作。WriteFile、SetEndOfFile、SetRenameInformationFile、SetDispositionInformationFile、RegSetValue這些是程序?qū)嶋H改動(dòng)了系統(tǒng)狀態(tài)的證據(jù)。做卸載殘留分析、做程序到底寫(xiě)沒(méi)寫(xiě)注冊(cè)表這類(lèi)判斷時(shí)只統(tǒng)計(jì)這一類(lèi)就夠了。打開(kāi)右側(cè)的Event 面板重點(diǎn)看三個(gè)字段Desired Access這一位特別關(guān)鍵。Generic Read和Generic Write差別巨大而Read Attributes、Synchronize這類(lèi)權(quán)限基本可以忽略因?yàn)樘喑绦蛟谔綔y(cè)文件存在性時(shí)會(huì)帶上它們。ShareMode別人能不能同時(shí)讀。如果程序用的是獨(dú)占模式?jīng)]有FILE_SHARE_READ那它在文件打開(kāi)期間會(huì)阻塞其他程序這也是文件被占用類(lèi)問(wèn)題的根因。Detail 里的 OptionsNon-Directory File、Open Reparse Point、Complete If OpLocked這些標(biāo)志能幫你判斷程序是不是在做小文件讀寫(xiě)優(yōu)化。3.3 保存、導(dǎo)出與二次統(tǒng)計(jì)Procmon 自己統(tǒng)計(jì)能力有限遇到幾百萬(wàn)條事件的時(shí)候靠眼睛翻是不現(xiàn)實(shí)的。我的常規(guī)做法是Save 成 PML 保留原始現(xiàn)場(chǎng)同時(shí)導(dǎo)出 CSV 到本地做聚合。導(dǎo)出的時(shí)候選 All Events列建議全選但 CSV 體積會(huì)非常大一般控制在一百萬(wàn)行以?xún)?nèi)比較舒服。導(dǎo)出的 CSV 用 PowerShell 處理起來(lái)很快。下面這段統(tǒng)計(jì)出現(xiàn)次數(shù)最多的路徑 Top 20我在好幾個(gè)項(xiàng)目里都直接復(fù)用Import-Csv .\Logfile.csv | Group-Object Path | Sort-Object Count -Descending | Select-Object -First 20 Count, Name | Format-Table -AutoSize再換一個(gè)維度統(tǒng)計(jì)哪些進(jìn)程在寫(xiě)自己的目錄Import-Csv .\Logfile.csv | Where-Object { $_.Operation -in WriteFile,SetEndOfFile,SetRenameInformationFile } | Group-Object Process Name | Sort-Object Count -Descending | Format-Table Count, Name -AutoSize路徑里如果混著臨時(shí)目錄和時(shí)間戳分組結(jié)果會(huì)很碎可以先做一次正則清洗再分組。這屬于數(shù)據(jù)分析的常規(guī)操作但很多人卡在導(dǎo)出之后不知道怎么下手這一步。4. 句柄快照不裝驅(qū)動(dòng)也能看清資源清單4.1 快照法的價(jià)值與邊界Procmon 有兩個(gè)明顯短板一是需要驅(qū)動(dòng)二是它記錄的是事件流不是當(dāng)前持有狀態(tài)。當(dāng)你想回答這個(gè)進(jìn)程此刻還開(kāi)著哪些資源時(shí)事件流幫不上忙——它可能開(kāi)了又關(guān)關(guān)了你還在日志里看到一堆記錄。這時(shí)候要看句柄快照。Process Explorer 打開(kāi)后按CtrlH顯示句柄視圖選中目標(biāo)進(jìn)程下方面板就會(huì)列出該進(jìn)程當(dāng)前持有的所有句柄包括類(lèi)型、名稱(chēng)、權(quán)限。想看某個(gè) DLL 被誰(shuí)加載了按CtrlF調(diào)出 Find Handle or DLL輸入文件名就能列出所有引用它的進(jìn)程這個(gè)在排查某文件被占用無(wú)法刪除時(shí)幾乎是唯一解。命令行版本是handle.exehandle.exe -a -p 1234 handle.exe -u -p 1234 handle.exe -s -p 1234-a顯示所有句柄類(lèi)型不加只會(huì)顯示文件句柄-u顯示句柄所屬的用戶(hù)名-s按類(lèi)型匯總輸出一個(gè)計(jì)數(shù)表看句柄分布非常直觀權(quán)限上和 Procmon 一樣需要管理員。實(shí)際上它依賴(lài)SeDebugPrivilege管理員默認(rèn)持有普通用戶(hù)沒(méi)有。4.2 用差分法找出短命進(jìn)程的資源快照法最大的問(wèn)題是只能看到現(xiàn)在還開(kāi)著的。對(duì)于運(yùn)行幾秒鐘就退出的程序等你打開(kāi)工具去選進(jìn)程它已經(jīng)沒(méi)了。解法是差分在程序啟動(dòng)前抓一次全量句柄快照運(yùn)行結(jié)束后再抓一次對(duì)比差集。這樣即使進(jìn)程已經(jīng)退出你也能推斷出它在運(yùn)行期間開(kāi)了什么——當(dāng)然前提是它沒(méi)有把句柄都關(guān)干凈。Python 的psutil做這事最省事import psutil, time, json def snapshot(pid): try: p psutil.Process(pid) files [f.path for f in p.open_files()] conns [ f{c.laddr} - {c.raddr} [{c.status}] for c in p.connections(kindinet) ] return {files: files, conns: conns} except Exception as e: return {error: str(e)} target int(input(輸入 PID: )) before snapshot(target) print(運(yùn)行中按回車(chē)結(jié)束采集...) input() after snapshot(target) print(新增文件句柄) for f in set(after.get(files, [])) - set(before.get(files, [])): print( , f) print(新增網(wǎng)絡(luò)連接) for c in set(after.get(conns, [])) - set(before.get(conns, [])): print( , c)PowerShell 版本用Get-Process加Modules也能做類(lèi)似的事$pid 1234 $before (Get-Process -Id $pid).Modules | Select-Object -ExpandProperty FileName Start-Sleep -Seconds 10 $after (Get-Process -Id $pid).Modules | Select-Object -ExpandProperty FileName Compare-Object $before $after | Format-Table -AutoSize兩種方式的共同前提是程序運(yùn)行時(shí)間足夠長(zhǎng)能用輪詢(xún)的方式采到。如果程序只跑 200 毫秒輪詢(xún)一定漏。這時(shí)候就老老實(shí)實(shí)回到 Procmon 或者改用 ETW。提示句柄快照的采樣間隔別設(shè)成 1 秒以下open_files()和connections()在句柄多的進(jìn)程上是有開(kāi)銷(xiāo)的實(shí)測(cè)在一個(gè)開(kāi)了一萬(wàn)多個(gè)句柄的進(jìn)程上每次調(diào)用會(huì)卡住幾百毫秒采樣太密會(huì)把目標(biāo)拖慢。5. 讓 Windows 自己留痕原生審計(jì)與事件日志5.1 審計(jì)策略的開(kāi)啟方式前面兩種方法都需要你主動(dòng)去抓抓完?yáng)|西在你自己手里。但如果需求是長(zhǎng)期留痕、事后可追溯原生審計(jì)才是正解因?yàn)樗窍到y(tǒng)自己寫(xiě)的日志誰(shuí)在什么時(shí)候動(dòng)了哪個(gè)文件記錄得很實(shí)在。開(kāi)啟分兩步。第一步是打開(kāi)審計(jì)子類(lèi)別auditpol /get /category:* auditpol /set /subcategory:文件系統(tǒng) /success:enable /failure:enable auditpol /set /subcategory:注冊(cè)表 /success:enable /failure:enable auditpol /set /subcategory:句柄操作 /success:enable /failure:enable auditpol /set /subcategory:進(jìn)程創(chuàng)建 /success:enable /failure:enable第二步是關(guān)鍵的一步很多人卡在這光開(kāi)子類(lèi)別沒(méi)用還得在具體的文件或注冊(cè)表鍵上設(shè)置 SACL。SACL 是系統(tǒng)訪問(wèn)控制列表和常見(jiàn)的 DACL權(quán)限列表不是一回事它專(zhuān)門(mén)用來(lái)描述什么操作要記日志。設(shè)置它需要SeSecurityPrivilege普通管理員默認(rèn)持有。icacls D:\AppData /audit:everyone:(OI)(CI)(F)注冊(cè)表這邊沒(méi)有直接對(duì)應(yīng)的命令行用 PowerShell 更順手$key [Microsoft.Win32.Registry]::LocalMachine.OpenSubKey( SOFTWARE\YourApp, [Microsoft.Win32.RegistryKeyPermissionCheck]::ReadWriteSubTree, [System.Security.AccessControl.RegistryRights]::ChangePermissions ) $acl $key.GetAccessControl() $rule New-Object System.Security.AccessControl.RegistryAuditRule( Everyone, [System.Security.AccessControl.RegistryRights]::FullControl, [System.Security.AccessControl.InheritanceFlags]::ContainerInherit, [System.Security.AccessControl.PropagationFlags]::None, [System.Security.AccessControl.AuditFlags]::Success ) $acl.AddAuditRule($rule) $key.SetAccessControl($acl)5.2 關(guān)鍵事件 ID 與讀取方法審計(jì)打開(kāi)之后相關(guān)事件落在安全日志里。幾個(gè)必須記住的 ID事件 ID含義關(guān)注點(diǎn)4688進(jìn)程創(chuàng)建命令行、父進(jìn)程、創(chuàng)建者4656請(qǐng)求對(duì)象句柄對(duì)象名、訪問(wèn)權(quán)限4663對(duì)象訪問(wèn)嘗試訪問(wèn)掩碼、進(jìn)程名4658句柄關(guān)閉配合 4656 算持有時(shí)長(zhǎng)4660對(duì)象被刪除刪除行為取證5140網(wǎng)絡(luò)共享訪問(wèn)遠(yuǎn)程來(lái)源地址要拿到 4688 的命令行內(nèi)容還得額外開(kāi)一個(gè)策略否則命令行字段是空的。這個(gè)在組策略里叫審核進(jìn)程創(chuàng)建時(shí)包含命令行命令行開(kāi)啟方式如下reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit /v ProcessCreationIncludeCmdLine_Enabled /t REG_DWORD /d 1 /f讀日志用Get-WinEvent比圖形界面高效得多。下面這段查最近一小時(shí)里某個(gè)進(jìn)程訪問(wèn)過(guò)的對(duì)象$start (Get-Date).AddHours(-1) Get-WinEvent -FilterHashtable { LogName Security Id 4663 StartTime $start } | Where-Object { $_.Message -match target\.exe } | Select-Object TimeCreated, {nObject;e{$_.Properties[8].Value}} | Format-Table -AutoSize這里有個(gè)必須提醒的點(diǎn)安全日志的量增長(zhǎng)極快。在一個(gè)正常辦公終端上只對(duì)某個(gè)應(yīng)用目錄開(kāi) SACL一小時(shí)也能產(chǎn)生幾萬(wàn)條 4663。如果不做日志輪轉(zhuǎn)和容量規(guī)劃默認(rèn) 20MB 的安全日志幾小時(shí)就被沖掉了前面的記錄全丟。生產(chǎn)環(huán)境里要么把審計(jì)范圍壓到最小只審計(jì)關(guān)鍵目錄別整個(gè)盤(pán)要么配置日志轉(zhuǎn)發(fā)集中存儲(chǔ)。5.3 Sysmon 作為補(bǔ)充原生審計(jì)的短板是它只能看到你配了 SACL 的對(duì)象看不到內(nèi)核模塊加載、看不到網(wǎng)絡(luò)連接的歸屬進(jìn)程、看不到 WMI 操作。Sysmon 正好補(bǔ)上這塊它提供的幾個(gè)事件 ID 值得記住ID 1進(jìn)程創(chuàng)建帶哈希和命令行ID 3網(wǎng)絡(luò)連接帶源端口、目標(biāo) IP 和端口、歸屬進(jìn)程ID 11文件創(chuàng)建ID 12/13/14注冊(cè)表創(chuàng)建/設(shè)置/重命名ID 22DNS 查詢(xún)ID 8遠(yuǎn)程線程創(chuàng)建這個(gè)是很多注入行為的信號(hào)配置文件不要照抄網(wǎng)上的全開(kāi)版那個(gè)在終端上一天能寫(xiě)幾百 MB。我的習(xí)慣是先用比較寬的配置跑兩天統(tǒng)計(jì)一下事件分布再按實(shí)際噪音量裁剪。Sysmon 的配置更新不需要重啟系統(tǒng)改完sysmon64.exe -c config.xml直接生效這點(diǎn)比裝驅(qū)動(dòng)舒服很多。6. 網(wǎng)絡(luò)資源端口、連接與流量歸宿6.1 從進(jìn)程反查連接文件那套工具對(duì)網(wǎng)絡(luò)其實(shí)覆蓋得一般網(wǎng)絡(luò)側(cè)要單獨(dú)看。最基礎(chǔ)的是netstat -ano重點(diǎn)看最后一列的 PIDnetstat -ano | findstr LISTENING netstat -ano -p tcpPowerShell 的版本信息更結(jié)構(gòu)化還自帶進(jìn)程名Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess, {nProc;e{(Get-Process -Id $_.OwningProcess).ProcessName}}這個(gè)組合在排查某個(gè)端口被誰(shuí)占了時(shí)非?？臁Ｗ⒁?IPv6 的監(jiān)聽(tīng)會(huì)同時(shí)出現(xiàn)在 IPv4 和 IPv6 兩張表里同一端口看到兩條記錄是正常的別以為沖突了。6.2 pktmon不用裝第三方就能抓包Windows 10 1809 之后內(nèi)置了pktmon很多 Server 版本也有。它的好處是純系統(tǒng)組件不需要額外裝驅(qū)動(dòng)也不會(huì)和現(xiàn)有抓包工具搶網(wǎng)卡。pktmon filter remove pktmon filter add -p 8443 pktmon start --etw -m real-time pktmon stop pktmon etl2pcap PktMon.etl -o capture.pcap轉(zhuǎn)成 pcap 之后可以用常規(guī)分析工具打開(kāi)這個(gè)流程在客戶(hù)現(xiàn)場(chǎng)特別管用因?yàn)楹芏鄷r(shí)候不讓裝別的軟件。要抓環(huán)回流量的話pktmon也能覆蓋因?yàn)樗鼟斓奈恢帽任锢砭W(wǎng)卡更靠上。6.3 ETW 網(wǎng)絡(luò)事件需要長(zhǎng)時(shí)間記錄網(wǎng)絡(luò)行為的時(shí)候ETW 的Microsoft-Windows-Kernel-Network是最穩(wěn)的選擇它記錄了每個(gè) TCP/UDP 連接的四元組和歸屬 PID開(kāi)銷(xiāo)比抓全量包小得多。配合Microsoft-Windows-DNS-Client還能拿到域名解析記錄把 IP 反查回域名。如果只是想看某個(gè)進(jìn)程連了哪些域名Sysmon ID 22 其實(shí)就夠用了配置簡(jiǎn)單還能直接寫(xiě)進(jìn)日志系統(tǒng)。7. 常見(jiàn)問(wèn)題與排查速查表7.1 癥狀、原因與處理對(duì)照下面這張表是我這些年反復(fù)遇到過(guò)的按出現(xiàn)頻率排的序。癥狀常見(jiàn)原因處理辦法Procmon 里子進(jìn)程行為全丟過(guò)濾條件只寫(xiě)了父進(jìn)程名打開(kāi) Advanced Output 按 PID 過(guò)濾或先不加進(jìn)程條件看到NAME NOT FOUND就以為是錯(cuò)誤誤判了探測(cè)行為這是高價(jià)值信息單獨(dú)導(dǎo)出分析關(guān)鍵路徑看不到進(jìn)程以 SYSTEM 運(yùn)行權(quán)限不夠用psexec -s提升到 SYSTEM 再運(yùn)行工具抓到的路徑和實(shí)際不符WOW64 重定向或卷掛載點(diǎn)映射換算SysWOW64與System32檢查\Device前綴系統(tǒng)明顯變卡甚至卡死多個(gè)文件過(guò)濾驅(qū)動(dòng)安全軟件沖突減少同時(shí)運(yùn)行的工具一次只開(kāi)一個(gè)程序一啟動(dòng)工具就丟事件程序有反調(diào)試或反注入檢測(cè)改用 ETW 或原生審計(jì)別做注入日志翻得太快歷史記錄沒(méi)了安全日志容量太小調(diào)大Security日志上限或配置轉(zhuǎn)發(fā)時(shí)間戳對(duì)不上多臺(tái)機(jī)器時(shí)區(qū)或時(shí)間未同步統(tǒng)一 NTP日志一律用 UTC 做對(duì)齊7.2 幾個(gè)值得展開(kāi)的坑第一個(gè)坑是看不見(jiàn)不代表沒(méi)發(fā)生。有一次我分析一個(gè)更新程序Procmon 里干干凈凈只有幾條讀配置文件的記錄。后來(lái)用句柄快照一查它其實(shí)在啟動(dòng)時(shí)通過(guò)命名管道和已有服務(wù)通了信真正的下載邏輯在那個(gè)服務(wù)進(jìn)程里。如果只看目標(biāo) exe結(jié)論會(huì)完全錯(cuò)。所以每次分析之前先想清楚這個(gè)程序有沒(méi)有可能把活外包給別的進(jìn)程有的話必須把關(guān)聯(lián)進(jìn)程一起納入觀測(cè)范圍。第二個(gè)坑是權(quán)限導(dǎo)致的靜默丟失。Procmon 在標(biāo)準(zhǔn)用戶(hù)下運(yùn)行時(shí)它不會(huì)報(bào)錯(cuò)只是默默漏掉高權(quán)限進(jìn)程的事件。很多人第一次用沒(méi)注意這個(gè)事后拿結(jié)果去下結(jié)論方向就跑偏了。養(yǎng)成習(xí)慣打開(kāi)之前先確認(rèn)標(biāo)題欄有沒(méi)有顯示管理員模式。第三個(gè)坑是時(shí)間窗口。事件日志的默認(rèn)保留策略是按需覆蓋不是保留固定天數(shù)。分析一個(gè)前幾天發(fā)生的問(wèn)題時(shí)先查一下日志最早能追到什么時(shí)候Get-WinEvent -ListLog Security | Select-Object MaximumSizeInBytes, FileSize, RecordCount如果RecordCount已經(jīng)被覆蓋過(guò)一輪那前面的記錄就沒(méi)了只能靠之前導(dǎo)出的歸檔。這也是為什么長(zhǎng)期留痕場(chǎng)景必須提前規(guī)劃事后補(bǔ)救來(lái)不及。第四個(gè)坑是把命名管道當(dāng)成文件。Procmon 里\Device\NamedPipe\xxx這種路徑看起來(lái)很像文件操作但它的語(yǔ)義完全不同——這是進(jìn)程間通信不是磁盤(pán) IO。如果你在統(tǒng)計(jì)程序?qū)懥硕嗌贁?shù)據(jù)到磁盤(pán)時(shí)把它算進(jìn)去數(shù)字會(huì)虛高。8. 我個(gè)人的一點(diǎn)使用順序建議分析一個(gè)陌生程序我現(xiàn)在基本固定成這么一套流程供參考。先花五分鐘做靜態(tài)觀察Get-Process看它的加載模塊Get-NetTCPConnection看有沒(méi)有已經(jīng)建立的連接Process Explorer 掃一眼句柄數(shù)量和類(lèi)型分布。這一步不費(fèi)勁但能幫你判斷后面該重點(diǎn)看什么——如果啟動(dòng)就有一堆網(wǎng)絡(luò)連接那網(wǎng)絡(luò)側(cè)是主戰(zhàn)場(chǎng)如果句柄數(shù)上千多半是數(shù)據(jù)庫(kù)或緩存類(lèi)應(yīng)用文件側(cè)是重點(diǎn)。然后用 Procmon 做一次完整的捕獲過(guò)濾條件從寬到窄。抓完先看NAME NOT FOUND和寫(xiě)入類(lèi)事件這兩個(gè)列表看完程序的行為輪廓基本就出來(lái)了。剩下的讀操作大多是運(yùn)行庫(kù)加載優(yōu)先級(jí)低。如果懷疑有子進(jìn)程或者行為分散在多個(gè)進(jìn)程里就補(bǔ)一輪句柄快照做交叉驗(yàn)證。最后如果這個(gè)程序需要在多臺(tái)機(jī)器上反復(fù)分析那就別每次都手工抓了寫(xiě)個(gè)腳本把 ETW 或者 Sysmon 的采集固定下來(lái)日志統(tǒng)一歸檔。手工抓一次兩次可以抓二十次一定會(huì)出錯(cuò)而且不同人抓的口徑還不一致數(shù)據(jù)沒(méi)法橫向比。至于那些內(nèi)核層驅(qū)動(dòng)、繞過(guò)用戶(hù)態(tài)掛鉤的手段坦白說(shuō)我遇到的不多而且這類(lèi)對(duì)抗性場(chǎng)景往往需要專(zhuān)門(mén)的工具鏈配合不是一篇文章能講透的。對(duì)日常的故障排查、兼容性驗(yàn)證、安全自查來(lái)說(shuō)上面這套組合已經(jīng)覆蓋了絕大多數(shù)情況。真到了需要看內(nèi)核回調(diào)的深度說(shuō)明問(wèn)題本身已經(jīng)超出常規(guī)分析的范疇了。