IDC资讯中心
(1)系统帐号检查
通过本地用户和组(lusrmgr.msc)查看否存在多个管理员或克隆用户。多余的管理员修改密码后全部禁止，克隆帐号会继承原用户的数据，比如帐号说明之类的很好区分。打开regedt32
给HKEY_LOCAL_MACHINE\SAM\SAM加上administrators全权(一般黑客已经帮你完成了这步)就能看到SAM项下的内容。
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names下可以看到用户的列表，默认的二进制键值记录的是帐号对应的UID，例如0x1f4。UID列表对应于HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users
这里是帐号的权限信息，例如0x1f4对应000001F4项。找到克隆帐号修改掉他的UID将其删除，还原注册表权限。
(2)进程检查
可以通过第三方工具冰刃(iecsword)进行进程检查。发现可疑的进程全部关闭(system32\svchost.exe,lsass.exe,winlogon.exe,csrss.exe为关键的系统进程，确认进程文件路径的情况下不要去关闭。)
。如是冰刃中提示存在但进程管理器中无法看到的，在该进程的“模块信息中“找出该程序是插入到哪个进程中的并将其“强制解除“(有可能会系统自动重启，如插入的是系统的关键进程，需事先EVERYONE拒绝掉该进程文件后再强制解除，DLL文件反注册后再执行之前的操作)。
(3)系统环境检查
检查 C:\Documents and Settings\AllUsers\Documents
C:\Documents and Settings\AllUsers\Application Data
C:\wmpub\wmiislog
下是否有可疑程序。
C:\Documents and Settings下是否有其他用户的目录。如果存在则进入该用户目录搜索.exe .com
*.bat可能会找到一些登录后用过的工具以便分析入侵过程。
C:\Documents and Settings\xxxxx\LocalSettings目录下能找到该用户一些访问的缓存记录也有助于分析。
检查当前端口使用状态，被动模式的木马会监听端口来等待连接。可以通过netstat -anb |more
来获取当前端口的使用状态和对应的程序名(只用于03系统)。
windows目录和system32目录右击→文件查看→详细信息→按日期排列后找出最近建立的exe和dll文件对其进行排查。
检查杀毒软件的日志记录，一般通过WEB进行提权的，获得上传权限后会通过某个站点上传WEB木马这时候往往可以从杀毒软件的日志中发现一些记录。入侵后上传的程序很有可能被当做病毒清除。通过日志可以获得木马路径以及木马程序名称。
检查cmd.exe net.exe net1.exe cacls.exe regedit.exe regedt32.exe程序的权限是否有被修改。
检查系统启动组(msconfig)以及组策略(gpedit.msc)。组策略中的管理模版→系统→登录要注意。
(4)服务程序的检查
检查SERV-U用户是否有系统管理员权限。搜索SERV-U配置文件ServUDaemon.ini
关键字为“system”。如发现Maintenance=System则此用户的权限存在问题，更换SERV-U除两个.ini外的全部文件以防止捆绑，完成后给SERV-U加上管理密码。
检查SQL SERVER是否有system Administrators角色的用户，是否有用户拥有多个库的访问权限。
MYSQL备份好MYSQL库检查USER表。表中每行代表一个用户的权限，发现与ROOT内容相同的行一律删除。
(5)检查完成后的处理
修复和更新可能受损的杀毒软件，重新配置安全环境。
