KO | EN

GitLite

Minimalist Open Source Repository Search Engine

gitlite — search

#developer-tools #typescript #claude-code #codex #dsh #dsh-plugin #ai-agent #ai-agents #deepseek-harness #agent-skills #macos #cli

WG-Win-Check

★ 73 Open GitHub ↗

一款轻量级Windows 应急响应辅助工具

// repository documentation

Was this content helpful?

★ 0 (0 ratings)

<h3 align="center">
  <b>WG-Win-Check</b>
</h3>

<p align="center">
  一款轻量便捷的 Windows 应急响应辅助工具
</p>

## 简介

WG-Win-Check 是一款基于原生 Win32 API 实现的轻量级的 Windows 应急响应辅助工具，目前 64 位版本大小仅 800 余Kb，旨在以轻量便捷的特性，通过多维度的系统常规排查，能够有效帮助安全人员快速识别恶意进程、可疑启动项、异常网络连接等安全风险。

## 核心功能

### 风险概览

汇总核心模块产生的风险信息，用于快速查看当前主机最值得优先核查的对象。

### 用户排查

枚举系统所有用户账户（包括隐藏用户）基础信息、识别克隆账户和异常权限。
<img width="1315" height="655" alt="image" src="https://github.com/user-attachments/assets/7e28c55e-fdb1-46f4-9684-3820ed9adf4b" />

### 进程排查

监控列举系统所有进程，展示基础进程信息字段，支持按进程类型、签名、关键字过滤。提供进程树、DLL 模块、执行文件 hash、在线验证、签名校验以及进程结束操作。

### 网络连接排查

监控所有 TCP/UDP 连接 ，展示基础连接信息及关联进程，支持按协议、状态、外联、关键字进行快速过滤筛选，提供一键提取所有外联 IP。

### 启动项排查

扫描系统常见自启动项，包括：注册表启动项（Run、RunOnce、RunServices）、启动文件夹、Winlogon、IFEO、AppInit_DLLs、RunOnceEx、WMI 订阅等驻留手段。

### 服务排查

枚举所有系统服务，可基于服务类型、签名、启动类型、服务状态进行过滤，包含签名校验及其他基础风险高亮规则，同时可快捷管理服务。

### 计划任务排查

列举所有计划任务，展示基础信息包括执行程序、文件路径、运行实际等，支持类型(系统/用户)、运行状态、关键字快速过滤。提供基础计划任务暂停、运行、删除等快捷操作。

### 文件排查

扫描常见的恶意文件落地目录包括下载、临时目录，过滤常见的恶意文件落地类型，支持自定义扫描路径如微信、飞书文件下载路径的扫描。

### 事件日志排查

提供常见事件类型包括登录、进程创建、日志清除的排查，以及快速关联打开操作。

### 威胁检索

基于 IOC 进程内存特征的威胁检索，检索上下文，便于快速定位快速定位可疑进程。

### 活动痕迹
聚合用户常见活动，解析UserAssist、Prefetch、最近访问、登录等多种活动来源，梳理程序执行、最近访问等活动时间线。
<img width="1315" height="653" alt="image" src="https://github.com/user-attachments/assets/659acc7b-27ea-420a-a8b5-130d42d87264" />

## 获取方式

-   官方网站：https://secwg.com/archives/019bb7f1-85d2-7799-acfe-70bc2b7064ed
    
-   Github 下载：[https://github.com/SECWG/WG-Win-Check/releases](https://github.com/SECWG/WG-Win-Check/releases)

## 更新日志

### v1.8.0 (2026-07-21)

1. 【新增】普通权限启动时增加权限提示
2. 【新增】网络排查和威胁检索列表增加关联进程图标
3. 【优化】统一各模块右键复制、文件目录和文件属性操作，服务管理与任务计划程序调整为工具栏入口
4. 【优化】网络排查筛选项调整为协议、状态和连接类型下拉框
5. 【优化】整体界面字号、控件高度、列宽和初始窗口尺寸，改善不同系统及 DPI 缩放下的显示效果

### v1.7.0 (2026-07-05)

1. 【新增】自启动项新增 WMI 订阅采集，支持识别 CommandLineEventConsumer 与 ActiveScriptEventConsumer
2. 【新增】进程、服务、自启动项、计划任务列表新增文件图标展示，便于快速区分程序来源
3. 【优化】收敛白加黑利用判定规则，进一步降低噪声

### v1.6.0 (2026-06-27)

1. 【新增】新增风险概览首页，集中汇总用户、进程、自启动项、服务、计划任务核心模块风险结果
2. 【新增】网络排查新增 IP 归属列，支持外联 IP 归属信息展示
3. 【新增】计划任务新增关联文件字段，支持从命令包装器参数和 COM Handler 中提取真实关联文件
4. 【新增】事件日志新增 5156 网络连接事件，登录成功事件默认排除服务类型登录
5. 【优化】进程、服务、自启动项、计划任务签名校验改为自动完成，并展示证书发布者信息
6. 【优化】收敛未签名风险规则，进程模块不再单独将未签名作为风险，持久化模块按第三方和场景分级
7. 【优化】自启动项特殊配置类启动点独立处理，避免误套文件签名、公司信息和文件不存在规则
8. 【优化】用户排查细化隐藏用户来源，区分登录界面隐藏、$隐藏用户、SAM/API不一致
9. 【优化】活动痕迹 Prefetch 路径解析支持设备路径和 Volume GUID 还原为盘符路径
10. 【其他】风险判定、筛选默认项、状态反馈和界面字段等细节优化

### v1.5.0 (2026-05-31)

1. 【移除】移除授权相关校验措施
2. 【新增】文件排查新增"扫描配置"按钮统一管理扫描范围和文件类型,文件排查新增排除过滤输入框
3. 【新增】服务排查新增关联运行进程PID字段
4. 【新增】网络排查右键新增"在线查询"跳转
5. 【优化】打开文件位置修复含引号路径无法解析的问题
6. 【其他】其他细节优化/修复

### v1.4.0 (2026-04-06)

1. 【新增】事件日志优化提取逻辑，新增 PS-400查询，rdp-1024-出站服务器IP字段提取修复
2. 【新增】网络排查新增"内网"复选框，外连模式下可选择是否显示内网 IP
3. 【新增】关于页面新增"检查更新"功能，便于手动检测最新版本
4. 【新增】威胁检索新增"内存限制(MB)"输入框，支持自定义单区域扫描上限
5. 【新增】文件排查默认扫描目录新增 C:\inetpub
6. 【优化】进程、服务、计划任务模块刷新按钮保留当前过滤状态，不再重置筛选条件
7. 【优化】授权机制更新，适配最新授权机制
8. 【优化】软件安装记录改为通过关联目录获取安装时间，提升准确性，排除噪声项目
9. 【其他】其他细节优化/修复

### v1.3.0 (2026-03-01)

1. 【修复】修复低版本prefech文件解析问题
2. 【优化】优化部分风险高亮规则，减少非必要噪声
3. 【优化】授权窗口新增“授权中心”，移除非必要“浏览文件”功能
4. 【优化】其他细节优化

### v1.2.0 (2026-02-08)

1. 【新增】活动痕迹模块：聚合用户常见活动痕迹，包括UserAssist、Prefetch、最近访问、登录等活动，梳理活动时间线
2. 【新增】事件日志新增 杀软检出 查询
3. 【优化】其他细节优化
4. 【修复】修复右键异常刷新，过滤状态重置BUG

### v1.1.0 (2026-01-31)

1. 【新增】文件排查模块新增时间排序逻辑，新增自定义后缀扫描
2. 【优化】取消部分非必要风险判定规则，优化风险描述字段
3. 【优化】优化部分默认过滤规则，新增其他关键字段过滤
4. 【优化】网络排查模块移除“UDP”与“其他”复选框的误关联
5. 【修复】修复自启动模块右键菜单点击误刷新，事件日志模块修复右键失效问题

### v1.0.0 (2026-01-18)

✨ 首次发布:

1. 用户排查 - 枚举系统用户账户，识别隐藏用户和克隆账户
2. 进程排查 - 监控系统进程，进程树查看、DLL分析、签名验证和在线威胁查询，标注可疑进程
3. 网络连接排查 - 监控TCP/UDP连接，快速过滤方式
4. 启动项排查 - 全面扫描注册表启动项、启动文件夹、IFEO劫持等多种启动方式
5. 服务排查 - 枚举系统服务，标注可疑服务
6. 计划任务排查 - 扫描系统计划任务，显示任务状态、触发器和执行程序
7. 文件排查 - 扫描指定目录常见落地文件类型，内置常见威胁落地目录+自定义路径扫描
8. 事件日志排查 - 分析Windows安全事件日志，筛选登录失败、权限提升等关键事件
9. 威胁检索 - 基于进程内存特征的威胁检索，快速定位威胁进程

WG-Win-Check

Explore Similar Repositories

Was this content helpful?

Recent Feedback

Download README