# 方案二：DOS系统命令排查
本章节介绍如何通过DOS系统命令进程排查。
#### 常用命令
| 命令                     | 作用                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                        |
|:---|:---|
| cd                     | 切换目录。 - 当前目录：【./】(同级目录)可省略  - 上一级目录：【../】  - 上上一级目录：【../../】   |
| dir /a:（磁盘）            | 缺省包含所有文件（系统文件.隐含文件）                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                       |
| more                   | 分屏显示文件内容                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                  |
| tasklist               | 查看进程                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                      |
| netstat -ano           | 查看连接                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                      |
| wmic startup list full | 查看自启                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                      |
| net user               | 查看用户                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                      |
| 示例： - 查找D:\\Apps\\下，包含"DR"的文件： dir /a-d /s "D:\Apps\IDE" | findstr "DR"  - 查找C盘下，包含"exe"的文件和目录：dir /s C: \| findstr "exe"                                                                                                             ||
   
#### 操作步骤
1. 查看是否存在异常进程。
   
   查询命令：tasklist
   根据查询结果排除系统进程或业务应用进程，锁定异常进程。
   ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000001427161393.png "点击放大")
   
   
2. 查看网络分析，是否存在异常的IP连接主机。 
   查询命令：netstat –ano
   1. 根据查询结果排除业务连接端口或业务外部地址连接，锁定可疑地址。
   
   2. 使用[微步在线](https://x.threatbook.com/)确认可疑地址是否属于恶意或非正常业务的海外地址。
   
   3. 通过异常连接的"PID"，通过值（如2240）在[步骤 1]的查询结果找到进程（如vchost.exe）。
      ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000001376401936.png "点击放大")
      
   
   
   
   
3. 检查是否存在异常用户。 
   1. 命令：net user，查询用户信息。
      ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000002015993168.png "点击放大")
      
   
   2. 查询命令：net user +用户名（如administrator），查询用户更改主机密码的时间。
      ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000002052113093.png "点击放大")
      
   
   3. 查询命令：systeminfo，查询是否存在重启。
      主机重启会自动清理数据，无法分析用户数据，需查询重要文件目录，请参见[步骤 4]。
      ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000002015993856.png "点击放大")
      
   
   
   
   
4. 检查文件分析，是否存异常文件。
   
   查询命令：dir /s + 文件目录（如C:）+| findstr "exe"
   查询磁盘中（如C盘)下，"exe"的文件和目录，根据查询结果排除系统文件或应用创建文件，锁定异常文件。
   ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000002051959805.png "点击放大")
   ![](https://support.huaweicloud.com/bestpractice-securityInfo/public_sys-resources/note_3.0-zh-cn.png)
   建议重点排查以下目录："windows"、"windows\\system32"、"windows\\system32\\drivers"、"c:\\program files\\internet explorer\\"、"c:\\program files\\internet explorer\\plugin"、"c:\\program files\\common files\\microsoft shared"-临时文件夹。
   
   
5. 查看windows主机登录日志（登录成功事件ID：4624），排查主机是否存在异常登录情况。 
   1. 打开"计算机管理"，选择"系统工具 \> 事件查看器 \> Windows 日志 \> 安全"，单击右侧"筛选当前日志"。
   
   2. 填写"包括/排除事件 ID"：4624。
      图1筛选当前日志   
      ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000002051957365.png "点击放大") 
   
   3. 查询结果如[图 查询结果]所示
      图2查询结果   
      ![](https://support.huaweicloud.com/bestpractice-securityInfo/zh-cn_image_0000002016001740.png "点击放大") 
   
   
   
   
6. 如果上述方法均不能解决您的疑问，请"提交工单"寻求更多帮助。