黑客入侵电脑会留下痕迹吗_如何看到黑客入侵痕迹记录
目录：
如何查看自己的电脑 是否被黑客入侵过？
操作方法
打开任务管理器看看有没有不认识的程序`
打开CMD输入netstat -an或用360查看有没有可疑端口` 如果都没有`恭喜没有被入侵过```其实一般XP没这么容易被入侵
可以通过查看系统日志，查看进程表有无可疑进程和DOS下查看系统用户来分析。DOS查看用户你要进行以下操作：运行--CMD--输入net user（查看有哪些用户）--net start （查看开启了哪些服务）--net user 要删掉的用户名 /delete--再输入一次net user查看用户名是否还在。如果不行的话选择安全模式下执行上面的操作 。
如果是发现可以进程，需要下载一个间谍专家分析那个EXE程序调用哪些DLL，在注册表下删除RUN里的开机运行，再用类似安全卫士KILL掉可疑程序的DLL调用文件，并关闭该程序开启的后台端口即可。
Windows下哪rvv个文件夹最有可能出现黑客入侵痕迹？
1. 异常的日志记录
通常我们需要检查一些可疑的事件记录, 比如:
除此之外, 还可以看看有没有大量失败的登录日志或者被锁定的账户.
查看事件日志有两种方式:
1) 通过图形界面查看, 开始-运行 eventvwr.msc
2) 通过命令行查看, 主要是使用eventquery.vbs脚本:
或者只看某个条目下的日志:
eventquery.vbs是使用可以查看命令行帮助或者微软的官方文档.
2. 异常的进程和服务
即在我们熟知的Windows任务管理器中查看是否有奇怪的进程在运行, 重点关注用户名是SYSTEM(系统)或者Administrator(管理员), 以及在管理员组的用户.当然, 你最好能熟悉正常的进程和服务, 不然也不知道某个进程是不是"异常"的. 如果不熟悉也不要紧, 对着任务管理器不认识的进程, 挨个google一遍也就能大概了解了.
查找异常进程
使用Ctrl+Alt+Del快捷键或者开始-运行taskmgr.exe打开任务管理器即可看到运行中的进程. 当然也可以使用命令行查看进程:
查找异常服务
1). 图形界面: 开始-运行 services.msc
2). 命令行:
C: net startC: sc query
查找和每个进程关联的服务:
3. 异常的文件和注册表
如果磁盘可用空间突然减小, 我们可以查找文件看是否有异常. 通过开始菜单依次点击:
然后设置查找选项, 比如文件大小大于10000KB, 或者创建/修改时间在一周以内, 并搜索相关文件.
对于注册表, 通常是查找自启动的注册点, 并检查对应的应用程序, 常见的启动点为:
注: HKLM和HKCU分别是HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER的缩写.
查看注册表有两种方式:
1) 图形界面: 开始-运行 regedit.exe
2) 命令行reg query key, 例:
当然除此之外还有很多注册点可以进行自启动, 这个在下面说.
4. 异常的计划任务
接下来是查看异常的计划任务, 重点关注那些以管理员组或者SYSTEM权限, 或者是以空白用户名定时启动的任务.
查看定时任务
1) 图形界面, 可以通过开始菜单搜索Task Scheduler打开, 或者:
2) 命令行输出计划任务:
查看自启动程序
1) 图形界面, 开始-运行 msconfig.exe
2) 命令行:
其他自启动入口
要注意的是, msconfig这些命令只是列出了部分开机自动启动的程序, Windows开机自启动的方式很多, 包括劫持系统程序/动态运行库等方式,其中涉及到许多注册表入口, 感兴趣的朋友可以查看网上的其他文章.
5. 异常的网络流量
常用的网络相关自检命令:
检查防火墙配置:
C: netsh firewall show config
查看共享文件, 检查是否是主动分享的:
C: net view \127.0.0.1
查看本机活跃的会话:
C: net session
查看本机对其他系统打开的会话:
C: net use
查看NetBIOS over TCP/IP 的激活状态:
C: nbtstat -S
查看当前网络连接和监听情况:
C: netstat -na
持续输出上述信息, 每3秒刷新一次:
C: netstat -na 3
查看网络连接对应的进程id(-o)和进程名字(-b)
C: netstat -naob
注: netstat -b 除了显示进程名字, 还显示了进程所加载的DLL信息, 所以持续输出的话会消耗比较多的CPU资源. 对于其他选项, 可以通过netstat -h查看帮助.
6. 异常帐号
重点查看新添加进管理员组的帐号.
1) 图形界面方式:
然后查看里面的用户列表.
2) 命令行方式:
如何查看自己的电脑 是否被黑客入侵过
1.用CTRL＋ALT＋DEL调出任务管理器，查看有什么程序在运行，如发现陌生的程序就要多加注意，大家可以关闭一些可疑的程序来看看，如果发现一些不正常的情况恢复了正常，那么就可以初步确定是中了木马了，发现有多个名字相同的程序在运行，而且可能会随时间的增加而增多，这也是一种可疑的现象也要特别注意，你这时是在连入Internet网或是局域网后才发现这些现象的话，不要怀疑，动手查看一下吧（注：也有可能是其它一些病毒在作怪）
2.在「开始」→「运行」中输入"MSCONFIG"查看是否有可疑的启动项。
3.查看注册表。在「开始」→「运行」中输入“REGEDIT”。 先对注册表进行备份，再对注册表查看。（一定要养成一个习惯，在修改木文件时，对自己没有把握的需要先进行备份）查看HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices和Run项，看看有没有可疑的程序。
4.在「开始」→「运行」中输入"CMD"启动CMD，输入NETSTAT-AN查看有没有异常的端口。
5.在Windows目录下，看看有无一个名为Winstart.bat的文件。这个文件也是与Autoexec.bat类似的一个自动批处理文件，不过，它只能在Windows工作而不能在DOS下使用。仔细看看有没有什么你不知道的驱动程序，把它记录下来，到百度查一下，一般这个自动批处理文件是不会被用到的。（只能凭经验判断了）
6.查看c：\autoexec.bat与c：\config.sys，这两个文件里有一些系统所需的驱动程序。看看有没有什么可疑的驱动程序。
7.右击「我的电脑」→事件查看器查看安全日志，看
怎么查看自己电脑是否被黑客攻击
查看电脑是否入侵，是否留有后门：
1、查看任务管理器--进程，是否有可疑程序。查看详细信息是否有可疑程序。必要时详情中点击程序右击打开文件所在的位置看看，再右击程序属性看创建日期及修改日期，看是否最新更新过系统或驱动，没有就要注意了。
2、win+R --cmd--输入：netstat -ano 看是否有可疑IP在进行外网链接，状态中后面数字为pid 。
解释：
listening：端口在监听，等待连接但是未连接；
time wait状态：曾经有过连接但当前断开了，最后一次连接状态。
established状态：连接中。
fin_wait_2：第二次fin应答状态。
close_wait： 已关闭连接的状态。
fin_wait： 关闭连接发fin应答状态。
3、看时间查看器--windows日志--系统，安全--信息--下部的常规--看服务文件名是否有可疑程序。
4、明知道是木马，杀毒不了，建议备份数据后重装电脑，加强防火墙及端口权限。不要浏览没有icp备案、不良信息的网站，
5、平时使用电脑比较快，看文件视频浏览网页不卡，但是遇到突然网页卡死或无网络、网络非常慢等要检查网线是否正常后查看是否被攻击。被攻击后建议备份数据重新装系统。
防止入侵:
1、加强防火墙管理。
2、加强端口进出入站规则。
3、加强远程权限管理。
4、加强共享文件管理。
5、不看不良网站。
其他命令:
1、通过端口找pid：netstat -aon|findstr "8008"；
2、通过pid找程序：tasklist|findstr "3306"；
3、查看ip，端口， pid信息：netstat -ano。
相关文章
评论列表
发表评论
