ProbiusOfficial/windows-ir-skill

Latest recorded source activity: September 6, 2026 at 05:09

SkillsMP catalog refreshed: November 5, 2026 at 19:57

skills collected: 1

GitHub stars: 36
GitHub forks: 4

Install with an AI assistant

Copy this prompt into the AI assistant you're using.

Follow https://skillsmp.com/skill-install/prompt.md to install Agent Skills from https://github.com/ProbiusOfficial/windows-ir-skill.

Repository README

Repository README source: README.md

Read the source README

Expand full README

# windows-ir-skill > Windows 主机应急响应 SKILL —— 供 ZCode / Claude / Cursor 等 AI Agent 使用的结构化应急处置知识库（文档部分）。源自 NOP Team《Windows应急响应 Cookbook v1.2》（830 页）的全量结构化转写，**核心改编：原书大量流程依赖 GUI（任务管理器 / regedit / 事件查看器 / lusrmgr 等），本技能已全部转为命令行等价操作**，适配 AI Agent 纯文本通道的应急取证与处置场景。 ## 目录结构 ``` SKILL.md # 技能入口：场景路由、统一处置主线、GUI→CLI 对照表、人工介入点规范 references/ ├── 00-cheatsheet.md # 高频命令单行速查（处置前先读） ├── 01-preparation.md # 事前准备（CLI 化配置） ├── 02-mining.md # 挖矿病毒 ├── 03-backdoor.md # 远控后门 ├── 04-core-procedures.md # 核心流程（找pid→样本→启动时间→查杀→删文件） ├── 05-ransomware.md # 勒索病毒 ├── 06-brute-force.md # 暴力破解（RDP/SMB/SNMP/FTP/MSSQL） ├── 07-phishing.md # 钓鱼事件 ├── 08-non-persistent.md # 非持续性恶意外连 ├── 09-tunnel.md # 隧道事件（DNS/ICMP/TCP/UDP/KCP/QUIC/Web） ├── 10-badusb.md # BadUSB 投毒 ├── 11-mssql.md # MSSQL 事件排查（xp_cmdshell/程序集/Job/触发器） ├── 12-aftermath.md # 善后阶段（定损/横向排查） ├── 13~17-checklist-*.md # 38 项常规安全检查（账号/权限维持/行为痕迹/系统状态/劫持后门） ├── 18-tips.md # 取证小技巧 ├── 19-appendix.md # 知识点附录（RDP权限规则/登录类型/计划任务机制/服务隐藏对抗） ├── 20-troubleshooting.md # 常见问题（文件隐藏/样本被删溯源） └── 21-winrm.md # WinRM 远程处置通道（免 RDP 命令行取证） ``` ## 使用方式将本仓库放入 Agent 的技能目录（如 ZCode 的 skill 文件夹），Agent 在接到 Windows 应急响应任务时会自动按 `SKILL.md` 的场景路由加载对应 reference 处置。特点： - **全 CLI**：所有操作可经 PowerShell / CMD / WinRM 远程通道执行，无需 RDP 图形界面 - **人工介入点规范**：明确哪些环节（物理操作 / GUI-only / 高风险决策 / 外部平台）必须提醒用户操作，避免 Agent 越权或假装完成 - **38 项常规检查**：隐藏账户、SDDL 隐藏服务、WMI 事件订阅、COM 劫持、IFEO、Winsock 等权限维持后门全覆盖 - **保留原书页码**（`pN` 标注），可回溯原书截图与完整上下文 ## 说明 - 本仓库仅包含 **SKILL 文档部分**；`SKILL.md` 中提到的辅助脚本（win-ir-console 控制台、`win-triage.ps1` 一键体检、`win-monitor-conn.bat` 连接监控）未包含在此公开仓库中，对应命令逻辑已在各 reference 内以内联形式给出。 - 远程处置依赖 Windows 自带的 **WinRM（5985）**，配置方法见 `references/21-winrm.md`，无需任何第三方工具。 ## 来源与致谢本技能为以下原著的**结构化 CLI 化转写**（全部图形化操作已转化为命令行等价操作，供 AI Agent 纯文本通道使用）： - **原著**：NOP Team《Windows应急响应 Cookbook v1.2》（GPL-3.0 License） - 仓库：https://github.com/Just-Hack-For-Fun/Windows-INCIDENT-RESPONSE-COOKBOOK - 在线阅读：https://book.noptrace.com/ - 感谢 NOP Team 的开源分享，原著相关内容的**版权归原作者（NOP Team）所有**，仅供安全学习与**授权**应急响应场景使用。 ## 许可证（双层）本项目为原著衍生作品，按内容来源分两层许可（详见 [LICENSE](LICENSE)）： | 内容范围 | 许可证 | 版权 | |---|---|---| | **源自原手册的内容**——原手册中已有的命令行命令（wmic / schtasks / wevtutil / reg query / net 等）、事件处置流程、38 项常规安全检查知识及 `pN` 页码对应正文 | **GPL-3.0**（沿用原著许可） | NOP Team | | **本项目新增的转化与创作**——全部「GUI→命令行等价」转化内容、章节结构重组、SKILL.md 场景路由与人工介入点规范、WinRM 远程处置通道指南、原书之外补充的实战命令 | **MIT** | © 2026 ProbiusOfficial | 依据 GPL-3.0，本作品作为原著衍生作品整体以 GPL-3.0 兼容方式分发；其中 MIT 层内容可在遵循 MIT 条款的前提下单独使用。

Loading the repository README…

Skills in this repository

Information Security Analysts

1 occupation category · 100% classified

skill

occupation

description

updated

windows-incident-response

Information Security Analysts

Windows主机应急响应处置技能（源自 NOP Team《Windows应急响应 Cookbook v1.2》全量内容，全部图形化操作已转化为命令行）。覆盖挖矿病毒、远控后门、勒索病毒、暴力破解（RDP/SMB/SNMP/FTP/MSSQL）、钓鱼、非持续性恶意外连、隧道、BadUSB、MSSQL后门九类事件处置，38项常规安全检查（隐藏账户/启动项/计划任务/服务/WMI事件订阅/COM劫持/IFEO/AppInit/Winsock/屏幕保护等30余种权限维持排查）、善后定损、取证小技巧。远程处置走…

Source text: Chinese

2026-09-06

Showing 1 of 1 collected skill.