应急轻：一键应急响应工具

问渠安全实验室公众号文章同步。原文作者：z3nbyte，发布时间：2026 年 10 月 21 日。此处保留站内摘要，完整图文与演示见文末原文链接。

应急轻做什么

应急轻（YingJiLite）是一款 Windows 主机只读取证工具。它将文件、进程、持久化和通信线索放到同一份报告中，帮助排查人员快速确定需要复核的对象，并保留原始证据。

它关注的不只是“发现了什么”，还包括文件在哪里、由谁启动、依靠什么维持，以及可能连接到哪里。工具生成的是排查线索和关联证据，不能代替人工研判。

报告里需要看什么

• 对象与关联：文件路径、签名、进程身份、父进程以及对应的启动项或计划任务。
• 通信依据：区分 DNS 查询、连接尝试和已确认的通信；单个域名或历史 IOC 不直接等于成功 C2 通信。
• 待核查内容：内存与磁盘差异、异常可执行内容等，结合具体环境进一步确认。
• 检查缺口：权限不足、日志未开启或数据无法读取等情况应明确列出。“没有发现异常”不等于完整证明系统安全。

使用与下载

从项目正式 Release 下载，在授权排查的 Windows 机器上运行，设置回溯时间后开始检查。先阅读生成的报告，再结合原始证据核对；工具本身不执行删除文件或处置动作。

• 项目仓库与使用说明
• 正式版本下载
• 阅读公众号原文：应急轻：一键应急响应工具

功能和版本信息以项目当前文档及 Release 为准。