应急响应常⽤的⼯具说明
1 进程分析⼯具
1.1 ProcessHacker
功能：ProcessHacker是⼀款不错的进程分析⼯具，可查看所有进程信息，包括进程加载的dll、进程打开的⽂件、进程读写的注册表……，也可以将特定进程的内存空间Dump到本地，此外还可以查看⽹络连接。
⼯具截图如下：
注：查看具体进程的详细信息，双击Processes列表中的进程名字即可。
网站流量统计分析工具
1.2 ProcessExplorer
功能：ProcessExplorer是⼀款不错的进程分析⼯具，微软官⽅推荐⼯具，稳定性和兼容性相对不错。可查看所有进程的信息，包括其加载的dll、创建的线程、⽹络连接……，同样可以Dump出进程的内存空间到本地。
1.3 ProcessMonitor
功能：ProcessMonitor是⼀款实时刷新的进程信息监控⼯具，微软官⽅推荐⼯具，稳定性和兼容性也是相对出⾊。展⽰的信息很全⾯，且每⼀个打开的句柄、注册表、⽹络连接……都与具体的进程关联起来。
1.4 XueTr
功能：XueTr（官⽹www.xuetr）是⼀个Windows系统信息查看软件，可协助排查⽊马、后门等病毒，功能包含：
1. 进程、线程、进程模块、进程窗⼝、进程内存、定时器、热键信息查看，杀进程、杀线程、卸载模块等功能
2.内核驱动模块查看，⽀持内核驱动模块的内存拷贝
3.SSDT、Shadow SSDT、FSD、Keyboard、TCPIP、Classpnp、Atapi、Acpi、SCSI、Mouse、IDT、GDT信息查看，并能检测和恢复ssdt hook和inline hook
4.CreateProcess、CreateThread、LoadImage、CmpCallback、BugCheckCallback、Shutdown、Lego等Notify Routine信息查看，并⽀持对这些Notify Routine的删除
5.端⼝信息查看
6.查看消息钩⼦
7.内核模块的iat、eat、inline hook、patches检测和恢复
8.磁盘、卷、键盘、⽹络层等过滤驱动检测，并⽀持删除
9.注册表编辑
10.进程iat、eat、inline hook、patches检测和恢复
11.⽂件系统查看，⽀持基本的⽂件操作
12.查看（编辑）IE插件、SPI、启动项、服务、Host⽂件、映像劫持、⽂件关联、系统防⽕墙规则、IME
13.ObjectType Hook检测和恢复
14.DPC定时器检测和删除
15.MBR Rootkit检测和修复
16.内核对象劫持检测
17.其它⼀些⼿⼯杀毒时需要⽤到的功能，如修复LSP、修复安全模式等
1.5 PCHunter
功能：XueTr的增强版，功能和XueTr差不多，可参考上图。推荐更多使⽤PCHunter，减少出故障的概率。
1.6 ProcessDump
功能：可对指定的进程，将其进程空间内的所有模块单独Dump出来，甚⾄可Dump出隐藏的模块（即进程加载的dll，这⾥通常是被注⼊）。
注：这是个命令⾏⼯具。
1.7 PsTools
功能：PsTools是命令⾏⼯具集，微软官⽅推荐，功能多⽽全，其涵盖的⼦功能（命令）如下：
2 流量分析⼯具
2.1 Wireshark
功能：Wireshark是⼀款常⽤的⽹络抓包⼯具，同时也可以⽤于流量分析。
2.2 科来⽹络分析
功能：科来公司的⼀款流量分析⼯具，对⽐Wireshark要相对易⽤些（特别是流量分析⼊门⼈员），此外，该⼯具会⾃动将流量进⾏归类和统计。在某种意味上，还是⽐较⽅便的。
2.3 TCPView

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。