应急响应工具箱
现场处置常在断网环境进行，主机的系统命令又可能已被替换，所以需要一套提前准备好的离线工具：静态编译的排查命令、磁盘与内存采集工具、哈希校验工具、便携式检测工具与空白证据盘。工具集中放在独立介质上，随取随用，并且每次使用前先校验工具自身的哈希——带后门的应急工具会把一次处置变成新的感染源。
基本信息
| 介质要求 | 写保护 U 盘或只读挂载的移动硬盘，附工具哈希清单 |
|---|---|
| Linux 侧 | 静态编译的 busybox、socat、tcpdump、dcfldd、内存采集工具 |
| Windows 侧 | 系统内置工具集、Autoruns、内存采集工具、便携式取证套件 |
| 通用 | sha256 校验工具、加密归档工具、空白证据盘与标签 |
| 准备工作 | 定期更新工具版本并重新生成哈希清单 |
| 使用原则 | 先校验工具哈希，再在受害主机上执行 |
典型使用场景
- 断网现场无法下载工具，只能依赖自带介质
- 系统命令被 rootkit 替换，需要用静态工具做交叉验证
- 现场采集内存与磁盘镜像，需要工具与空白盘同时到位
- 批量处置多台主机时保证每台使用同一版本的工具
- 演练时验证工具清单是否完整、命令是否可用
工具自身完整性先校验
工具自身完整性先校验
sha256sum busybox dcfldd tcpdump socat # 与随附清单逐项比对
chmod +x busybox dcfldd tcpdump # 确认可执行权限
./busybox ps auxww | head -n 20 # 用静态工具复核进程列表
./busybox netstat -antp 2>/dev/null | head -n 20 # 系统命令缺失时的替代
./dcfldd --version # 确认工具可用
mount -o ro /dev/sdb1 /mnt/tools 2>/dev/null # 介质以只读方式挂载工具与用途
| 工具 | 平台 | 用途 |
|---|---|---|
| busybox（静态） | Linux | 系统命令被替换或缺失时的替代排查 |
| dcfldd | Linux | 带哈希的磁盘镜像采集 |
| tcpdump | Linux | 离线抓包固定网络证据 |
| socat 或隧道工具 | Linux | 受限环境下的取证数据传输 |
| Autoruns | Windows | 全量启动项与服务核对 |
| 内存采集工具 | Windows 与 Linux | 在关机前固定内存现场 |
应急工具本身可能被植入后门：只从官方渠道或本单位可信介质拷贝，并在现场校验哈希后再执行。不要为了图快从受害主机上下载工具，来源与内容都不可信。
工具箱要按平台成套准备：只带 Windows 工具去处置 Linux 主机，或反之，等于把现场时间浪费在找工具上。同时准备空白证据盘与标签纸，用于现场记录介质编号与内容。