SOC安全分析之旅

Autojump 是一个命令行工具，通过保留用户经常访问的目录的数据库，提供了一种更快速的浏览 Linux 文件系统的方法。它通过观察用户导航的目录，然后根据用户的常规访问情况为每个目录分配重要性来工作。

这使用户能够快速跳转到经常访问的目录。与传统的 cd 命令相比，Autojump 可以更快地导航到所需的目录。

Autojump 的特点：

• 自由和开源应用程序，遵循 GPL V3 协议
• 自学习实用程序，从用户的导航习惯中学习。
• 更快的导航。不需要包含子目录的名称。
• 可在大多数标准Linux发行版的存储库中下载，包括Debian、Ubuntu、Mint、Arch、Gentoo、Slackware、CentOS、RedHat和Fedora。
• 也可在其他平台使用，如OS X（使用Homebrew）和Windows（通过Clink启用）
• 使用autojump，您可以跳转到任何特定目录或子目录。您还可以打开文件管理器到目录，并查看您在哪个目录花费了多少时间以及统计数据。

查看版本

$ j -v

命令行目录跳转

$ j xx

命令行直接打开目录

$ jo www

https://github.com/wting/autojump

Eric Zimmerman’s tools

SigCheck 工具批量检查文件数字签名的完整指南，结合命令行和图形化方案，涵盖操作步骤、参数解析及注意事项：

# 导出CSV报告（-c：CSV格式）
sigcheck -c  -s -vt -vr “D:\Program Files” > report.csv

sigcheck -h -vt -vr -s”D:\Program Files” > report.txt

-h 显示文件哈希（SHA1/MD5）
-vt 提交文件哈希至VirusTotal

-vt：查询VT，-vr：显示结果

-u：未签名文件，-e：仅可执行文件，-s：递归子目录

-c 采用逗号分隔符的 CSV 输出

https://learn.microsoft.com/zh-cn/sysinternals/downloads/sigcheck

一、SigCheck 命令行批量操作

核心功能

• 批量扫描目录：递归检查指定路径下所有文件的数字签名状态。
• 筛选未签名文件：仅输出未签名的文件列表，便于快速定位风险文件。
• 导出结构化报告：支持 CSV、TXT 等格式，便于后续分析。
• 集成 VirusTotal：自动查询文件哈希的恶意软件检测结果。

操作步骤

1. 下载工具

   • 从 Microsoft Sysinternals 下载 SigCheck.exe。

2. 基础命令示例

   # 扫描目录并输出未签名文件（-u：未签名文件，-e：仅可执行文件，-s：递归子目录）
   sigcheck -u -e -s "C:\Windows\System32" > unsigned_files.txt
   
   # 导出CSV报告（-c：CSV格式）
   sigcheck -c -e -s "D:\Program Files" > report.csv
   

   运行

3. 集成 VirusTotal

   # 先接受VirusTotal条款（首次使用需执行）
   sigcheck -v
   
   # 扫描未签名文件并提交至VirusTotal（-vt：查询VT，-vr：显示结果）
   sigcheck -u -e -s -vt -vr "C:\TargetFolder" > vt_report.txt
   

   运行
   • 注意：免费版 VirusTotal API 有速率限制（4次/分钟）。

4. 高级参数

   参数	作用
   -nobanner	隐藏横幅信息
   -h	显示文件哈希（SHA1/MD5）
   -i	显示签名者证书链
   -vt	提交文件哈希至VirusTotal

二、图形化工具 SigcheckGUI

适用场景

• 非技术用户需直观查看批量结果。
• 快速检查签名元数据（发布者、日期、版本等）。

操作流程

1. 下载工具

   • 获取绿色版 SigcheckGUI。

2. 批量扫描

   • 启动工具 → 拖放文件/文件夹至界面 → 自动扫描并显示结果。

     

     SigcheckGUI界面

3. 结果解读

   • 绿色：有效签名
   • 红色：未签名或无效签名
   • 支持导出为 CSV/TXT。

三、应用场景与安全建议

典型用例

1. 系统安全审计
   • 扫描 System32 目录：sigcheck -u -e -s C:\Windows\System32。
2. 软件供应链验证
   • 检查第三方安装包是否全部签名。
3. 恶意软件排查
   • 结合 VirusTotal 识别可疑未签名文件。

注意事项

1. 权限要求
   • 需以 管理员身份 运行命令行。
2. 签名有效性
   • 有效签名 ≠ 文件安全！需验证证书颁发者是否可信。
3. 隐私风险
   • 使用 -vt 时，文件哈希会上传至 VirusTotal，敏感文件建议本地分析。
4. 误报处理
   • 部分合法驱动/旧版文件可能无签名，需结合上下文判断。

四、替代方案对比

五、完整操作流程图

提示：首次使用 SigCheck 时，建议用 sigcheck -h 查看完整参数列表。对持续监控需求，可将命令写入批处理脚本定时运行。