☰

如何判断cmd.exe弹出窗口执行了什么命令？

tag-icon • tag-icon windows cmd.exe malware
如何判断cmd.exe弹出窗口执行了什么命令？

我注意到有时 Windows 10 启动后会弹出一个黑框 cmd.exe，然后很快关闭。我想知道当时正在运行什么。除了查看自动运行，是否有工具或注册表可以帮助我追踪当时正在运行的内容？例如 cmd.exe 生成的程序和参数的历史记录？

答案1

是的，你一定可以知道。

首先打开 gpedit.msc 并转到

本地计算机策略计算机配置>Windows 设置>安全设置>高级审核策略配置>系统审核策略>详细跟踪，然后单击审核过程创建并选中成功和失败。

然后转到

本地计算机策略计算机配置>管理模板>系统>审核进程创建并单击在进程创建事件中包含命令行并启用该策略。

现在，每次登录 Windows 时，您都可以记录所有事件，并使用以下方法获取进程启动时间和父进程：

Get-WinEvent Security | Where-Object {$_.id -eq 4688} | Where-Object { $_.Properties[5].Value -match 'conhost' } | Select TimeCreated,@{ Label = "ParentProcess"; Expression = { $_.Properties[13].Value } }

或者获取详细信息（所有属性）：

Get-WinEvent Security | Where-Object {$_.id -eq 4688}

事件的创建编号为 4688，您也可以在事件查看器中查看。您可以使用Export-Csv它将结果导出到 CSV 文件。

灵感来自https://devblogs.microsoft.com/commandline/how-to-determine-what-just-ran-on-windows-console/

相关内容