根据应急响应场景，服务器被入侵后需要按以下优先级快速收集证据：

## 🚨 应急响应证据收集工具链

### 1️⃣ **快速信息收集（第一时间）**

**fscan** - 网络资产快速扫描
- 路径：`C:\Penetration\ScanTools\fscan\fscan.exe`
- 用途：快速了解受影响范围、横向移动迹象
```bash
fscan.exe -h 192.168.1.0/24              # 扫描整个网段
fscan.exe -h 192.168.1.0/24 -p 1-65535   # 详细端口扫描
```

### 2️⃣ **内存证据采集（易失性数据优先）**

内存数据断电即丢失，必须第一时间采集：

**FTK Imager** - 图形化内存采集
- 路径：`C:\Penetration\ForensicsTools\FTK Imager\`
- 操作：File → Capture Memory
- 优势：图形界面，快速上手

**Magnet RAM Capture** - 快速内存dump工具
- 优势：体积小，采集速度快

**WinPmem** - 命令行内存采集
- 适合脚本化批量采集

### 3️⃣ **内存快速分析（发现入侵痕迹）**

**Volatility 3** - 命令行深度分析
- 路径：`C:\Penetration\ForensicsTools\Volatility\volatility3.bat`
```bash
vol3 -f memory.dmp windows.info           # 系统信息
vol3 -f memory.dmp windows.pslist         # 进程列表
vol3 -f memory.dmp windows.pstree         # 进程树
vol3 -f memory.dmp windows.netscan        # 网络连接
vol3 -f memory.dmp windows.malfind        # 恶意代码扫描
vol3 -f memory.dmp windows.cmdline        # 命令行参数
vol3 -f memory.dmp windows.registry.userassist  # 程序执行记录
```

**MemProcFS** - 图形化内存浏览
- 路径：`C:\Penetration\ForensicsTools\MemProcFS\memprocfs.exe`
```bash
memprocfs.exe -device memory.dmp -mount M:
```
- 优势：将内存挂载为文件系统，直接浏览进程、网络、注册表

### 4️⃣ **日志证据收集与分析**

**Hayabusa** - Windows事件日志分析（重点工具）
- 路径：`C:\Penetration\ForensicsTools\Hayabusa\hayabusa.exe`
```bash
# 分析单个日志
hayabusa.exe csv-timeline -f Security.evtx -o result.csv

# 分析整个日志目录
hayabusa.exe csv-timeline -d C:\Windows\System32\winevt\Logs -o timeline.csv

# 实时监控（活体取证）
hayabusa.exe live-analysis

# 重点关注
# - Security.evtx（登录失败、权限提升）
# - System.evtx（服务安装、驱动加载）
# - Microsoft-Windows-Sysmon/Operational（进程、网络、文件）
```

**Apache Logs Viewer** - Web服务器日志分析
- 路径：`C:\Penetration\ForensicsTools\ApacheLogsViewer\httpLogsView.exe`
- 用途：可视化分析Web攻击路径（SQL注入、命令执行等）

**Chainsaw** - 日志威胁检测
- 自动识别SIGMA规则匹配的攻击行为

### 5️⃣ **磁盘证据采集（持久化数据）**

**FTK Imager** - 磁盘镜像创建
- 操作：File → Create Disk Image
- 格式：E01（推荐，压缩+校验）或 RAW

**KAPE** - 自动化证据采集
- 快速提取：
  - 用户文件
  - 浏览器历史
  - 最近访问文档
  - Prefetch（程序执行记录）
  - ShimCache（应用兼容性缓存）
  - AmCache（程序安装记录）
  - Jump Lists（快速访问列表）

### 6️⃣ **恶意文件检测与分析**

**PEStudio** - 可疑文件初步分析
- 路径：`C:\Penetration\ForensicsTools\PEStudio\`
- 检查：导入表、字符串、熵值、数字签名

**Capa** - 恶意能力识别
- 路径：`C:\Penetration\ForensicsTools\capa\capa.exe`
```bash
capa suspicious.exe        # 识别恶意行为能力
capa -v suspicious.exe     # 详细输出
```

**Detect It Easy** - 加壳检测
- 路径：`C:\Penetration\ReverseTools\DetectItEasy\`
- 识别编译器、加壳程序、混淆器

### 7️⃣ **网络流量分析**

**Wireshark** - PCAP流量分析
- 路径：`C:\Penetration\TrafficTools\Wireshark\`
```bash
# 常用过滤器
http                          # HTTP流量
tcp.stream eq 0              # TCP流重组
ip.addr == 攻击者IP
frame contains "password"    # 关键字搜索
```

**NetworkMiner** - 自动提取文件和凭据
- 路径：`C:\Penetration\ForensicsTools\NetworkMiner\`
- 自动提取：文件、图片、密码、会话

### 8️⃣ **凭据和权限分析（已失陷环境）**

**Mimikatz** - 凭据提取
- 路径：`C:\Penetration\IntranetTools\Mimikatz\mimikatz.exe`
```bash
privilege::debug
sekurlsa::logonpasswords      # 提取内存中的密码
sekurlsa::tickets /export     # 导出Kerberos票据
```
⚠️ **仅在隔离环境或授权测试中使用**

### 9️⃣ **时间线构建**

**Plaso** - 超级时间线生成
- 整合所有时间戳信息

**Timeline Explorer** - 时间线可视化
- 快速定位入侵时间点和攻击链

---

## 📋 应急响应标准操作流程

### 阶段1：隔离与初步评估（5分钟内）
1. 网络隔离（断网但不断电）
2. fscan快速扫描受影响范围
3. 确认攻击是否还在进行

### 阶段2：易失性证据采集（10分钟内）
1. ✅ **内存dump**（FTK Imager / Magnet RAM Capture）
2. ✅ **网络连接状态**（netstat / Volatility netscan）
3. ✅ **进程列表**（Volatility pslist）

### 阶段3：日志证据采集（20分钟内）
1. ✅ **Windows事件日志**（Hayabusa分析）
2. ✅ **Web服务器日志**（Apache Logs Viewer）
3. ✅ **应用日志**（数据库、中间件）

### 阶段4：持久化证据采集（1小时内）
1. ✅ **磁盘镜像**（FTK Imager / KAPE）
2. ✅ **文件系统时间线**（Plaso）
3. ✅ **可疑文件采样**（Capa / PEStudio）

### 阶段5：深度分析（后续）
1. 内存深度分析（Volatility / MemProcFS）
2. 恶意样本逆向（IDA Pro / Ghidra / x64dbg）
3. 流量还原（Wireshark / NetworkMiner）
4. 时间线构建（Timeline Explorer）

---

## 🎯 关键证据清单

### 必须收集
- ✅ 内存dump
- ✅ Windows事件日志（Security/System/Sysmon）
- ✅ Web服务器访问日志
- ✅ 网络连接状态
- ✅ 进程列表和命令行参数

### 重要证据
- ✅ 磁盘完整镜像
- ✅ Prefetch、ShimCache、AmCache
- ✅ 浏览器历史
- ✅ 临时文件和下载记录
- ✅ 可疑文件样本

### 补充证据
- ✅ 网络流量PCAP
- ✅ 数据库审计日志
- ✅ 防火墙/IDS日志
- ✅ 第三方EDR日志

---

## 🤖 AI辅助分析

如果需要深度分析二进制恶意样本或Android恶意应用：

**IDA Pro + MCP**（二进制分析）
```
@ida 分析可疑进程的函数功能
@ida 查找网络通信代码
@ida 识别加密算法
@ida 检测反调试和反虚拟机技术
```

**JADX + MCP**（Android恶意应用）
```
@jadx 分析网络请求和C2通信
@jadx 查找敏感权限滥用
@jadx 分析数据窃取代码
@jadx 查找后门和提权代码
```

---

## ⚠️ 注意事项

1. **证据固定优先级**：易失性数据（内存）→日志→磁盘
2. **不要直接操作原始证据**：使用镜像或副本分析
3. **保持证据链完整**：记录每一步操作、时间、人员、哈希值
4. **网络隔离但不断电**：避免破坏内存中的证据
5. **使用只读挂载**：分析磁盘时使用写保护或只读模式

需要我帮你启动某个工具或进行具体的分析操作吗？
