Windows 伺服器入侵快速排查三步法：賬戶、日誌、啟動項全維度自檢指南

前言

伺服器被植入後門、挖礦、勒索軟體，往往源於弱密碼、未修補漏洞、暴露管理埠。本文提供無需專業工具、純原生指令、5 分鐘上手的三步自檢法，適合中小企業無專職安全部門場景。

第一步：檢查本地用戶與群組——「誰有鑰匙？」

1. Win+R → lusrmgr.msc → 回車。
2. Administrators 群組：
   　　✅ 僅保留：Administrator（建議已重命名）、Domain Admins（域環境）。
   　　❌ 發現 admin$、backup$、test、sql、oracle 等非預期帳號 → 立即停用、重置密碼、審計其登入日誌。
3. Users 群組：
   　　僅保留系統預設（Guest 已停用）、業務必要服務帳號。
   　　異常帳號同樣處理。
4. 用戶列表：
   　　檢查是否有「無描述、名稱異常（隨機字串）、最近建立、密碼永不過期」的帳號。
   　　右鍵 → 內容 → 「帳號已停用」打鉤，並修改密碼為 32 位複雜字串。

第二步：審計管理員登入日誌——「誰在什麼時候進來的？」

1. Win+R → eventvwr.msc → 回車。
2. 展開 Windows 日誌 → 安全性。
3. 右鍵「篩選目前的記錄」→ 事件 ID 輸入：4624,4625,4634,4647（登入成功/失敗、登出、用戶登出）。
   　　舊版 Windows (2003/2008) 使用 528/529/538/540。
4. 關注欄位：
   　　登入類型：10 = 遠端互動 (RDP)、3 = 網路、2 = 互動、5 = 服務。
   　　來源網路位址：攻擊者 IP（可能為代理/跳板）。
   　　目標帳號名稱：被嘗試的帳號。
   　　呼叫者程序：發起登入的程式（如 mstsc.exe、lsass.exe、異常路徑）。
5. 發現非管理員常用 IP、非工作時間、大量失敗後成功 → 判定為暴力破解成功/憑證填充。

第三步：掃描異常啟動項與註冊表——「誰在開機自動跑？」

3.1 啟動資料夾

shell:startup           # 當前用戶
shell:common startup    # 所有用戶

應為空。發現 .bat、.vbs、.exe、捷徑 → 全盤掃毒、提交沙箱分析。

3.2 msconfig 啟動標籤

1. Win+R → msconfig → 「啟動」標籤（Win10/Server 2016+ 導向工作管理員）。
2. 異常特徵：
   　　名稱亂碼（A.EXE、XXXXI1SU2.EXE）、製造商為空、命令行指向 Temp/AppData/Public、簽名未驗證。

3.3 註冊表 Run 鍵值（核心重災區）

regedit → 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run  (32位程式於64位系統)

• 正常項：防病毒、監控 Agent、硬體驅動、OneDrive 等已知軟體。
• 異常項：指向隨機路徑、無簽名、命令行含 powershell -enc/cmd /c/wscript、值名亂碼。
• 處理：導出備份 → 刪除異常值 → 全盤掃毒 → 監控再發生。

進階：一鍵自檢 PowerShell 腳本（複製即用）

# 檢查 Administrators 群組成員
Get-LocalGroupMember Administrators | Format-Table Name, PrincipalSource

# 近 7 天登入成功事件 (Type 10 = RDP)
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624; StartTime=(Get-Date).AddDays(-7)} |
Where-Object {$_.Properties[8].Value -eq 10} |
Select-Object TimeCreated, @{N='Account';E={$_.Properties[5].Value}}, @{N='IP';E={$_.Properties[18].Value}}, @{N='LogonType';E={$_.Properties[8].Value}} |
Format-Table -AutoSize

# 掃描 Run 鍵值
$runPaths = @(
    'HKCU:\Software\Microsoft\Windows\CurrentVersion\Run',
    'HKLM:\Software\Microsoft\Windows\CurrentVersion\Run',
    'HKLM:\Software\Microsoft\Windows\CurrentVersion\RunOnce',
    'HKLM:\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run'
)
foreach ($p in $runPaths) {
    if (Test-Path $p) { Get-ItemProperty $p | Format-List }
}

發現異常後的應急響應 SOP

1. 隔離網路：防火牆封鎖所有入站、斷開對外連線（保留管理 IP）。
2. 保留證據：磁碟鏡像 (FTK Imager)、記憶體鏡像 (WinPMEM)、事件日誌導出。
3. 全盤掃毒：Windows Defender 完整掃描 + 專殺工具（如火綠劍、Malwarebytes、Kaspersky TDSSKiller）。
4. 修改所有憑證：Administrator、服務帳號、資料庫、API Key、雲控制台。
5. 修補漏洞：安裝所有安全更新、關閉不必要埠、啟用防火牆白名單。
6. 溯源分析：結合日誌、流量包、沙箱報告，確定入侵路徑、橫向移動範圍、數據竊取情況。
7. 上報備案：依《網絡安全法》、行業規定，向公安/監管/上級匯報。

總結

賬戶、日誌、啟動項三步走，覆蓋「誰有權限、誰來過、誰常駐」三大核心面向。無專業工具也能完成基礎自檢。習慣每週跑一次腳本、每月審一次日誌、每季演練一次應急，將入侵發現時間從「月級」壓縮至「天/小時級」。