1-进程分析-可疑进程发现与关闭
概念：
计算机与外部网络通信是建立在TCP或者UDP协议上的，并且每一次通信都是具有不同的端口（0-65535）。如果计算机被上传木马后，肯定会与外部网络通信，那么此时就可以通过查看网络连接状态，找到对应的进程id，然后关闭进程id并关闭连接状态。
1.netstat -ano | find “ESTABLISHED” //查看网络建立连接状态
2.tasklist /svc | find “PID” 查看具体PID进程对应的程序
3.taskkill /PID pid值 /T 关闭进程
2-异常计划任务排查
主要是对系统信息的windows计划任务进行排查
在计算机中可以通过设定计划任务，在固定时间执行固定操作，一般情况下，恶意代码也有可能在
固定的时间设置执行。
使用at命令可以对计划任务进行管理，直接输入at可以查看当前计算机中保存的计划任务。
1.使用at命令查看计算机中保存的计划任务。
2.也可以在可视化的任务管理器进行查看。
3.可以选中运行的任务，然后进行查看详细信息。
4.查看详细内容
5.可以对异常任务进行停止。
3- 隐藏账号发现与删除
隐藏账号，是指“黑客”之后为了能够持久保持对计算机访问，而在计算机系统中加建立的不轻易被发现的计算机账户。
最为简单的隐藏账户建立: net user test$ test /add && net localgroup aministrator test$ /add 其中 $ 符号可以导致管理员在使用net user 时， 无法查看test$用户。
1.使用net user test$ test /add建立临时用户
2.然后在计算机管理-用户里面查看新建的临时用户。
3.使用net user查看临时用户是否存在。
4.添加一个新临时用户，然后设置本地组。
5.查看其属性。
6.切换用户，然后登录
7.使用whoami查看用户id。
8.然后在计算机管理查看临时用户属性，发现他隶属于管理员。
9.防御措施就是发现临时用户，带有特殊符号的，将其删除。
2.注册表临时用户
1.先进入注册表，然后找到SAM，分配权限。
2.先建立一个临时用户
3.然后将管理员的文件，加到临时用户上。
4- 恶意进行-发现与关闭
恶意代码在windows系统中运行过程中，将以进程的方式进行展示，其中恶意进程执行着各种恶意行为，对于可执行程序，可以执行使用杀毒软件进行查杀，但是并非所有的恶意程序能够被查杀。此时可以手动查杀，使用工具psexplore，然后利用virustotal.com进行分析。对恶意程序相关的服务进行关闭。
1.使用psexplore进行分析
2.找到可疑程序，然后查找具体位置。
3.然后在服务里面查看，如果是可疑程序，将它停止。
5- 系统信息 -补丁查看与更新
windows系统支持补丁以修补漏洞。可以使用systeminfo查看系统信息，并展示对应的系统补丁信息 编号，也可以在卸载软件中查看系统补丁和第三方软件补丁。
第一种：使用systeminfo查看具体信息。
2.然后在卸载更新里面查看更新补丁。
3.win10 更新补丁的方法。
使用win+I快捷键 更新补丁。其他版本的windows也具有windows update的相关操作。
6-webshell发现与查杀
1：D盾专为IIS设计的一个主动防御的保护软件,以内外保护的方式 防止网站和服务器给入侵,在正常运行各类网站的情 况下，越少的功能，服务器越安全的理念而设计！ 限制了常见的入侵方法，让服务器更安全!
http://www.d99net.net/index.asp
2.河马webshell查杀：http://www.shellpub.com
3.深信服Webshell网站后门检测工具：http://edr.sangfor.com.cn/backdoor_detection.html
4.Safe3：http://www.uusec.com/webshell.zip
总结：
本文主要从可疑进程的发现、异常任务的排查、隐藏账户的发现、恶意程序的发现、系统补丁的查看及webshell的查杀来构思。