Windows常用工具

释放双眼,带上耳机,听听看~!


网安引领时代,弥天点亮未来   



 



     你不知道的Windows工具小技巧~~

        耐心看下去吧~



0
1
日志工具

1
FullEventLogView
    FullEventLogView
是一个用于Windows 10/8/7 / Vista的简单工具,它在表格中显示来自Windows事件日志的所有事件的详细信息,包括事件描述。它允许您查看本地计算机的事件,网络上远程计算机的事件以及存储在.evtx文件中的事件。它还允许您从GUI和命令行将事件列表导出到text / csv / tab-delimited / html / xml文件。

下载地址:

FullEventLogView(64位版本)

http://www.nirsoft.net/utils/fulleventlogview-x64.zip

简体中文语言包

http://www.nirsoft.net/utils/trans/fulleventlogview_schinese.zip

2
系统要求

    此实用程序适用于任何版本的Windows,从Windows Vista到Windows 10.支持32位和64位系统。对于Windows XP和较旧的系统,您可以使用MyEventViewer工具。(http://www.nirsoft.net/utils/my_event_viewer.html)

3
使用方法

    FullEventLogView不需要任何安装过程或其他DLL文件。要开始使用它,只需运行可执行文件 – FullEventLogView.exe运行FullEventLogView后,主窗口将加载并显示过去7天内的所有事件。您可以使用“高级选项”窗口更改默认的7天时间过滤器并设置其他过滤器(F9)。如果要从网络上的远程计算机或事件日志文件(.evtx)加载事件,则应使用“选择数据源”窗口(F7)。

下窗格显示模式,可以选择下窗格的显示模式,包括显示事件描述、显示事件数据和描述、显示事件XML。

    高级选项,可以通过各类选项筛选所需要的信息

    选择数据源,可以选择从本地计算机载入事件、从指定的远程计算机载入事件、从有日志文件的外部文件夹载入事件

0
2
进程工具

1
Process Monitor

    Process Monitor一款系统进程监视软件,总体来说,Process Monitor相当于Filemon+Regmon,其中的Filemon专门用来监视系统 中的任何文的操作过程,而Regmon用来监视注册表的读写操作过程。有了Process Monitor,使用者就可以对系统中的任何文件和 注册表操作同时进行监视和记录,通过注册表和文件读写的变化, 对于帮助诊断系统故障或是发现恶意软件、病毒或木马来说,非常有用

下载链接:

https://security.tencent.com/index.php/opensource/down/16


2

  
功能分析

    Process Monitor 不仅结合了 Filemon(文件监视器) 和 Regmon(注册表监视器) 两个工具的功能。

    · 监视进程和线程的启动和退出,包括退出状态代码

    · 监视映像 (DLL 和内核模式驱动程序) 加载

    · 捕获更多输入输出参数操作

    · 非破坏性的过滤器允许你自行定义而不会丢失任何捕获的数据

    · 捕获每一个线程操作的堆栈,使得可以在许多情况下识别一个操作的根源

    · 可靠捕获进程详细信息,包括映像路径、命令行、完整性、用户和会话ID

    · 完全可以自定义任何事件的属性列

    · 过滤器可以设置为任何数据条件,包括未在当前视图中显示的

    · 高级的日志机制,可记录上千万的事件,数GB的日志数据

    · 进程树工具显示所有进程的关系

    · 原生的日志格式可将所有数据信息保存,让另一个Process Monitor实例

    · 进程悬停提示,可方便的查看进程信息

    · 详细的悬停提示信息让你方便的查看列中不能完整显示的信息

    · 搜索可取消

    · 系统引导时记录所有操作

3
使用方法

    启动程序后,process monitor会自动扫描当前程序运行情况

    process monitor界面右上角的工具栏上的几个图标,他们分别表示注册表的读写、对文件的读写、网络的连接、进程和线程的调用和配置事件

    重置过滤器:Filter–>Reset Filter

    创建过滤器:Filter–>选择

    第一个下拉框选路径,第二个选结束,第三个填写你感兴趣的文件后缀,如lnk。点Add–点OK

    这时可以观察进程访问你电脑中那些资料。

0
3
网络分析工具

1
TCPView

  

    windows网络分析最常用的Wireshark,网络教程也有很多这里就不说了 这里介绍另外一款网络工具tcpview。

    TCPView工具是一款windows下的一款的TCP/UDP端口分析神器

可以看到直接显示了本地的所有网络连接 查看本地pid 什么协议 以及远程和本地端口以及状态 ,可以快速有效的看看本地的网络状态是否有异常。

    下载地址:http://pcdown.ttrar.com/small/tcpviewzwb_ttrar.zip

2
使用方法

    这里需要关注的点是端口和状态,这里说一下这里状态代表什么    

  • LISTENING:即端口的监听状态。处于这种状态的端口就是我们常说的监听端口,这种状态的端口一般由某个服务程序打开,等待其它主机来连接,因而这种端口又叫做服务端口。    

  • ESTABLISHED:即端口的连接状态。如果处于监听状态的端口已和其它主机建立了连接,那么端口的“LISTENING”状态就会变为“ESTABLISHED”状态。    

  • SYN_SENT:大多数情况下,我们的电脑会主动打开一个端口去连接其它机器,这时端口的状态就表现为“SYN_SENT”。处于这种状态的端口一般是由客户端程序打开,所以这种端口也叫做客户端口。客户端口如果和服务端口建立了连接,那么端口的状态就会由“SYN_SENT”状态变为“ESTABLISHED”状态。    

  • TIME_WAIT:处于“ESTABLISHED”状态的端口,如果连接被结束,那么端口的状态就会变为“TIME_WAIT”状态,它表示该端口曾经被访问过,现在访问结束了。    

    小提示:在上述所有的端口状态中,监听状态的端口尤其值得注意,特别是1024以上的监听端口,很有可能就是木马服务端打开的服务端口。

    进入可以进行追踪进程位置,以及结束进程 若看不惯窗口化进程还有命令行的形式Tcpvcon

0
4
内存服务工具

1
Process Explorer


    由Sysinternals开发的Windows系统和应用程序监视工具,目前已并入微软旗下。不仅结合了Filemon(文件监视器)和Regmon(注册表监视器)两个工具的功能,还增加了多项重要的增强功能。包括稳定性和性能改进、强大的过滤选项、修正的进程树对话框(增加了进程存活时间图表)、可根据点击位置变换的右击菜单过滤条目、集成带源代码存储的堆栈跟踪对话框、更快的堆栈跟踪、可在 64位 Windows 上加载 32位 日志文件的能力、监视映像(DLL和内核模式驱动程序)加载、系统引导时记录所有操作等。

    下载地址网上百度即可,安装都是windows图形化安装,一直点下一步就可以


2
工具使用

树形结构界面
  


1.准确的显示的进程的父子关系

2.通过颜色可以判断此进程处于的状态和类型,是挂起还是正在退出,是服务进程还是普通进程。

 
系统信息
 


    右键单击标题栏-选择Select Columns项,选择你要观察进程的某种特定的信息,这里有几个选项,常用的有Process Image和Process Memory这两个选项卡,其他的我就不截图举例了!

1.显示进程的文件路径(Image Path)

2.显示进程命令行参数(Command Line)

3.显示进程是64位进程还是32位的(Image Type)

4.显示进程当前所在的Session ID(session ID)

5.显示进程当前的权限,是系统用户权限还是网络管理员权限还是普通管理员权限(User Name)

6.显示当前进程的Gdi对象个数,内核对象个数,线程个数。

 
显示当前进程所加载的DLL
 


选择View —> Lower Pane View —> DLLs

1.通过这种方式可以观察,我们的进程是否被其他程序注入DLL

2.通过这种方式了解当前进程使用了那些编程技术,如图可见当前进程用到了Gdi+

3.可以修改Pane View的选项卡,让其显示更多的内容,比如DLL基地址,DLL内存相关信息等

 
显示当前进程所占用的系统资源句柄
 


选择View —> Lower Pane View —> DLLs 

1.查看当前进程所占用的资源句柄表

2.可以分析进程的逻辑:如图当前TeamViewer的服务进程创建了一个Event事件,并且占用一个Log文件

3.可以检查自己的程序是否有内核句柄泄露

 
操控进程以及显示进程的内部信息
 


右键单击进程(这类信息是属于当前进程的)

1.可以结束当前进程,或者当前进程树

2.可以挂起、重启、从挂其中恢复一个进程

3.查看进程信息(如图-选择Properties)

1.可以看到当前进程的用户组信息

2.可以看到当前进程申请了哪些特权

 选择Environment选项卡,可以看到当前进程的环境变量,如果自动化编译或者使用一些开源软件,查看其环境变量是很重要的一环。

 
搜索功能(Ctrl+F)
 


    为什么搜索功能单独拉出来说呢,我个人觉得这个功能在很多地方都可以用到,编码的时候可以查看哪个事件被谁占用了,你直接搜事件名称就可以了,如果像删除一个目录怎么也删除不掉,就是说某某文件被人占用,那你可以搜索一下你需要删除的目录路径。

如图:TeamViewer这个文件夹正在被一个服务占用,这样我只需要把这个服务停止,就可以删除了,常见的还有U盘被占用不让卸载等等!

 

Windows工具分享完了

喜欢别忘了关注我们哦~



学海浩茫,

予以风动,
必降弥天之润!


   弥  天

安全实验室


本文源自微信公众号:弥天安全实验室

人已赞赏
0 条回复 A文章作者 M管理员
    暂无讨论,说说你的看法吧
个人中心
今日签到
有新消息 消息中心
有新私信 私信列表
搜索