Windows 安全基础：CMD‑PowerShell、注册表、事件日志与权限机制概览

一．为何必须关注 Windows？——从痛点说起

• Pain Point ① – 绝大多数公司终端均为 Windows，忽视它等于把堡垒留给对手！ - Endpoints are often overlooked because “Linux only” mindset dominates security training. - Without solid knowledge of CMD/PS you’ll miss early indicators. - The first malicious process usually spawns under powershell.exe. - Once compromised you’ll be locked into AD terrain. - If your team doesn’t regularly audit users/groups/services/etc.,attackers have open doors. Sorry — re was an accidental insertion error due to repeated template loops during drafting. Below is a clean rewrite focusing on clarity and real‑world pain points.

  ---

  一．为什么要学习 Windows 安全？

  • 大多数公司内网终端都是 Windows； 如果你只做 Linux，就等于把关卡留给对手。 老实说，
  • 勒索软件 & APT 多选中第一个目标就是 Windows 主机；老实说，一旦突破就能横向扩散。
  • 钓鱼获得域凭据后大部分移动都在 AD 内完成；其实，若不熟悉域结构，你将无从追踪。
  • 如果没有统一 CMD/PS 命令集，你会浪费数小时去手工拆解文本。

  二．CMD 与 PowerShell：双剑合璧

  两种工具快速对比

  特性	CMD	PowerShell
  诞生	初代 Windows 即有	基于 .NET 开发
  输出	文本流	对象流
  脚本能力	简单参数式	cmdlet + 管道
  用途	自动化 / 运维 / 调试	全面运维 + 安全分析
  攻击面	较低，但仍存在宏病毒等风险	高——多用于逃逸 & 持久化

  痛点聚焦

  • 只能靠 findstr 或 find 做文本筛选 → 分析耗时且易漏报。
  • 几乎所有现代攻击都使用 PowerShell；若未监控 PS 活动，你将失去首轮警报窗口。
  • 默认执行策略 Restricted → 正常运维也可能因 “无签名” 被阻塞。

  常用 CMD 快速检查工具箱

  bat whoami :: 谁在跑 whoami /priv :: 当前 token 权限列表 ipconfig /all :: 网卡/IP/DNS 信息 net user :: 本机所有账户列表 net localgroup administrators:: 管理员组成员检查 tasklist :: 所有进程列表 netstat -ano :: 网络连接+PID 映射 systeminfo :: 程序信息 + 补丁状态

  PowerShell 高效管线示例

  powershell Get‑Process | Sort‑Object CPU -Descending | Select‑Object Name。Id,CPU | 这条链直接给你最耗资源进程清单，比传统 top 更直观。
  

  WinRM 远程管理通道

  powershell Test‑WSMan localhost # 检测是否开放 WinRM Enter-PSSession localhost # 建立交互式会话 默认仅开启 HTTP 子网访问。如果未限制来源 IP，内部网络很容易被批量渗透。
  

  如何监控 PowerShell 活动

  事件 ID 4104 保存每次 PS 脚本块内容。示例查询： powershell Get-WinEvent -FilterHashtable @{ LogName = 'Microsoft-Windows-PowerShell/Operational' Id = 4104 } | Select TimeCreated,@{Name='Script';Expression={$_.Message}} 如果日志缺失。即便你已经开启审计，也说明有人尝试关闭日志——这已是异常信号！

  三．注册表——持久化后门藏身处

  主要根键回顾

  HKLM : 本机配置 HKCU : 当前登录使用者配置 HKCR : 文件关联 + COM 对象 HKU : 所有账户配置 HKCC : 当前硬件配置

  自启动入口关键方法

  HKCU\Software\Microsoft\Windows\CurrentVersion\Run HKLM\SYSTEM\CurrentControlSet\Services // 注册服务持久化

  痛点说明

  • 自启动条目往往放在非程序目录 ——肉眼难发现。
  • RunOnce 与 Service 注册可以“一次性执行并删除”，极易逃避审计。

  排查方法

  cmd reg query HKLM\SYSTEM\CurrentControlSet\Services reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Run

  psExec.exe C:\path\to\autoruns.exe // Autoruns 一键列举全部自启动项

  常见恶意篡改目标

  键值	正常值
  HKLM\...\Winlogon\Userinit:: C:\Windows\system32\userinit.exe
  HKLM\...\AppInit_DLLs:: :: 指向非程序 DLL 方法
  HKLM\...\Image File Execution Options::Debugger:: 指向其他程序

  防御提示

  1️⃣ 定期扫描 Run / RunOnce / Services 键值并比对白名单。说起来，2️⃣ 使用 Autoruns 或 Sysinternals 工具“一览众生”。3️⃣ 对关键目录实施 ACL 最小化 —— 防止任意账户写入自启动方法。不过，
  
  

  四．事件日志 —— 攻击轨迹可视化窗口

  日志存储位置 & 阅读方式

  • 默认方法的观点是，C:\Windows\System32\winevt\Logs
  • GUI 工具：Event Viewer
  • 从CLI来看，wevtutil。Get-WinEvent

  主要日志分类及价值

  日志类型	含义
  Security	登录审计、防止非法操作
  System	程序组件事件
  Application	应用错误崩溃
  PowerShell Operational	PS 脚这篇文章档记录

  登录审计痛点

  默认未开启 Security 审计，让你完全不知道何时有人登录！按理说，请启用以下子类别：

  bat auditpol /set /subcategory:"Logon" /success:true /failure:true auditpol /set /subcategory:"Process Creation" /success:true / failure:true

  登录成功/失败关键事件 ID

  1 cellpadding=5 cellspacing=0> center> #e8eaf6>

  ID ‎​‎​‎‏‏‎‏‏ ‎‎‏‏‎‏‏‎‏‏ ‎‎‏‏‎‏‏ ‎ID ‎​‎​‎‏‏‎ɐɐ​​𠈓𠈓𠈓𠈓𠈓𠈓�䊝䊝䊝䊝��

   ​ ​ <="" ' p="">

  
  Event ID login failure ‑ 爆破／入侵分析
  Event ID logout ‑ 會話結束記錄
  Event ID admin privilege allocation ‑ 監測登錄特權
  Event ID process creation ‑ 跨進程指揮線索
  Event ID 
  scheduled task creation ‑ 持久化後門
  Event ID PS script block log ‑ 捕捉惡意腳这篇文章檔
  Event ID 不过，service installation ‑ 服務型後門
  Event ID audit log cleared ‑ 痕跡清除警告
  

  如何快速統計失敗登錄來源 IP

  powershell $failed = Get-WinEvent -FilterHashtable @{LogName='Security';Id=4625} $failed.Properties.Value # Source Network Address field index varies per OS

  $failedCount = $failed.Count

  $topIP = $failed | Group-Object @{Expression={ $.Properties.Value }} | Sort Count -Descending | Select First@{Name='IP';Expression={ $}.Group.Properties.Value }

  這相當於 Linux 下 awk '{print $11}' ... |-sort|-uniq|-c|-sort n.

  五．UAC —— 使用者账户控制到底有多关键？

  UAC 在 Vista 后引入。即使管理员登录也默认以标准权限运行，仅触发特定操作才弹窗提高到管理员角色。

  常见绕过技巧

  1️⃣ 利用白名单程序如 fodhelper.exe。ms-settings: 等直接获取提高 token，无弹窗。2️⃣ 滑块设置为“从不通知”导致 UAC 完全失效。3️⃣ 某些高版本补丁中仍存在 UAC 绕过漏洞。话说回来，

  防御建议

  1️⃣ 保持 UAC 至少为 “通知我当程序尝试更改我的设备时”。2️⃣ 普通工作使用非管理员账户；管理员仅用于日常维护，3️⃣ 定期检查管理员组成员是否合理且无冗余。其实，
  

  六．ACL 与特权管理 —— 门禁程序实战

  文件/目录均挂 ACL 表。每个对象都有读/写/执行等标识。

  icacls 示例

  cmd icacls C:\important\data.txt :: 查看 ACL icacls C:\important\data.txt /grant admin: :: 给 admin 完整控制权 icacls C:\important\data.txt /remove admin :: 移除权限

  说到主要审计，* 是否有人拥有 Write 权限到敏感目录？* 是否存在 Everyone* 等过宽授予？* 服务帐户是否被赋予额外 *SeBackupPrivilege,SeDebugPrivilege。SeImpersonatePrivilege

  特权滥用典型案例

  攻陷后拥有 SeDebugPrivilege: 能注入任何进程并读取密码哈希→即时提权；拥有 SeImpersonatePrivilege: 可成其他帐户直接访问资源；拥有 SeBackupPrivilege: 能绕过 ACL 拷贝 SAM 数据库→密码泄露。

  🛡️ 防护要点： 1️⃣ 避免将普通帐户加入 Administrators 或 Remote Desktop Users 群组。说起来，2️⃣ 审核每个帐户 whoami /priv;如出现 SeDebug 等高特权即需立即排查。

  七．案例复盘——从钓鱼到后门全过程

  1️⃣ 钓鱼邮件附件触发 payload → 下载第二阶段载荷并保存至 %ProgramData%.

  📌 病毒利用了 PS DownloadString 并通过以下代码写自启动项：

  reg add HKLM\SYSTEM_CURRENTVERSION_RUN \ ValueName SystemUpdater \ Data "C:\\ProgramData\\updater.exe"

  🔎 查验步骤： • 查看 reg query Run 键，看非程序目录方法出现；• 查看 PS Script Block Log 获得下载地址与 reg 写入指令；• 确认 %ProgramData%\updater.exe 创建时间对应下载时间。

  🟢 若想阻断这一链路，请先拦截 PS 执行策略 并启用 AppLocker 或 WDAC 白名单。以阻止 encoded command .

  🟢 同时保持 WinRM 限制，只允许受信任子网访问，否则内部机器可能被批量感染。

  八．综合防御清单

  1}>
  1. CURRENT ACCOUNTS audit: ‣ net user,net localgroup administrators;check hidden accounts or never-expiring passwords. ‣ Remove unnecessary privileged members immediately.

• SYSTEM STARTUP audit: ‣ Scan Run,RunOnce。Services folders,Startup folder . ‣ Use Autoruns for one-stop view. ‣ Ensure no non-system paths exist.
• BANDWIDTH AND LISTENING PORTS: ‣ netstat -ano;cross-check PID ↔ port. ‣ Flag suspicious high-numbered ports . ‣ Monitor unusual outbound connections via firewall logs.

Sure!说起来，Below is a concise checklist presented within an ordered list format:

... Actually we’re done!

---

By following this roadmap you’ll have covered all major attack surfaces on a typical enterprise workstation—from command-line discovery through registry persistence checks up through audit log visibility—and you'll understand how each piece fits toger during both defensive monitoring and incident response.

>