搜索

[21993] 2021-05-21_使用TScopy访问已锁定的文件

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2021-05-21_使用TScopy访问已锁定的文件 使 用 T S c o p y 访 问 已 锁 定 的 文 件 转 自 f r e e b u f   L e m o n S e c   2 0 2 1 - 0 5 - 2 1 关 于 关 于 T S c o p y 在 事 件 响 应 （ I R ） 过 程 中 ， 研 究 人 员 通 常 需 要 访 问 或 分 析 文 件 系 统 上 的 文 件 。 有 时 这 些 文 件 会 因 为 正 在 使 用 而 被 操 作 系 统 （ O S ） 锁 定 ， 这 就 很 尴 尬 了 。 T S c o p y 允 许 以 管 理 员 权 限 运 行 的 用 户 通 过 解 析 文 件 系 统 中 的 原 始 位 置 并 在 不 询 问 操 作 系 统 的 情 况 下 复 制 文 件 来 访 问 锁 定 的 文 件 。 当 然 了 ， 社 区 还 有 很 多 能 够 执 行 类 似 任 务 的 其 他 工 具 ， 比 如 说 R a w C o p y ， 而 我 们 的 T S c o p y 也 是 基 于 该 工 具 开 发 出 来 的 。 然 而 ， R a w C o p y 也 有 一 些 缺 点 ， 这 也 是 我 们 开 发 T S c o p y 的 原 因 ， 并 且 提 升 了 工 具 性 能 和 集 成 扩 展 性 。 T S c o p y 是 一 个 P y t h o n 脚 本 ， 可 以 用 于 解 析 N T F S   $ M F T 文 件 以 定 位 和 复 制 特 定 文 件 。 通 过 分 析 主 文 件 表 （ M F T ） ， 脚 本 绕 过 了 文 件 上 的 操 作 系 统 锁 。 此 前 的 R a w C o p y 是 用 A u t o I T 编 写 的 ， 很 难 修 改 ， 因 此 我 们 才 决 定 将 R a w C o p y 移 植 到 P y t h o n 上 。 T S c o p y 被 设 计 成 可 以 作 为 一 个 独 立 的 程 序 运 行 或 作 为 一 个 p y t h o n 模 块 导 入 使 用 。 T S c o p y 和 和 R a w C o p y 的 区 别 的 区 别 T S c o p y 是 用 P y t h o n 编 写 的 ， 并 且 被 组 织 成 类 ， 以 使 它 比 A u t o I T 更 易 于 维 护 和 可 读 。 而 A u t o I T 可 能 会 被 反 病 毒 产 品 标 记 为 恶 意 组 件 ， 因 为 现 在 有 很 多 恶 意 软 件 已 经 开 始 利 用 它 来 实 现 攻 击 了 。 T S c o p y 和 R a w C o p y 的 主 要 区 别 在 于 每 次 执 行 时 可 以 复 制 多 个 文 件 ， 并 且 可 以 缓 存 文 件 结 构 。 T S c o p y 提 供 了 下 载 单 个 文 件 、 多 个 逗 号 分 隔 文 件 、 目 录 内 容 、 通 配 符 路 径 （ 单 个 文 件 或 目 录 ） 和 递 归 目 录 的 选 项 。 T S c o p y 在 迭 代 目 标 文 件 的 完 整 路 径 时 缓 存 每 个 目 录 和 文 件 的 位 置 。 然 后 ， 它 使 用 此 缓 存 优 化 对 任 何 其 他 文 件 的 搜 索 ， 确 保 以 后 的 文 件 拷 贝 执 行 得 更 快 。 与 R a w C o p y 相 比 ， 这 是 一 个 显 著 的 优 势 ， R a w C o p y 则 会 迭 代 每 个 文 件 的 整 个 路 径 。 工 具 下 载 工 具 下 载 广 大 研 究 人 员 可 以 使 用 下 列 命 令 将 该 项 目 源 码 克 隆 至 本 地 ： T S c o p y 运 行 选 项 运 行 选 项 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / t r u s t e d s e c / t s c o p y . g i t . T S c o p y _ x 6 4 . e x e   - h u s a g e :         T S c o p y _ x 6 4 . e x e   - r   - o   c : t e s t   - f   c : u s e r s t s c o p y n t u s e r . d a t                 D e s c r i p t i o n :   C o p i e s   o n l y   t h e   n t u s e r . d a t   f i l e   t o   t h e   c : t e s t   d i r e c t o r y         T S c o p y _ x 6 4 . e x e   - o   c : t e s t   - f   c : W i n d o w s s y s t e m 3 2 c o n f i g                 D e s c r i p t i o n :   C o p i e s   a l l   f i l e s   i n   t h e   c o n f i g   d i r e c t o r y   b u t   d o e s   n o t   c o p y   t h e   d i r e c t o r i e s   u n d e r   i t .             T S c o p y _ x 6 4 . e x e   - r   - o   c : t e s t   - f   c : W i n d o w s s y s t e m 3 2 c o n f i g                 D e s c r i p t i o n :   C o p i e s   a l l   f i l e s   a n d   s u b d i r e c t o r i e s   i n   t h e   c o n f i g   d i r e c t o r y .             T S c o p y _ x 6 4 . e x e   - r   - o   c : t e s t   - f   c : u s e r s * n t u s e r * , c : W i n d o w s s y s t e m 3 2 c o n f i g                 D e s c r i p t i o n :   U s e s   W i l d c a r d s   a n d   l i s t i n g s   t o   c o p y   a n y   f i l e   b e g i n n i n g   w i t h   n t u s e r   u n d e r   u s e r s   a c c o u n t s   a n d   r e c u r s i v e l y   c o p i e s   t h e   r e g i s t r y   h i v e s . C o p y   p r o t e c t e d   f i l e s   b y   p a r s i n g   t h e   M F T .   M u s t   b e   r u n   w i t h   A d m i n i s t r a t o r   p r i v i l e g e s o p t i o n a l   a r g u m e n t s :     - h ,   - - h e l p                         s h o w   t h i s   h e l p   m e s s a g e   a n d   e x i t     - f   F I L E ,   - - f i l e   F I L E     F u l l   p a t h   o f   t h e   f i l e   o r   d i r e c t o r y   t o   b e   c o p i e d .                                                 F i l e n a m e s   c a n   b e   g r o u p e d   i n   a   c o m m a   ' , '   s e p e r a t e d                                                 l i s t .   W i l d c a r d   ' * '   i s   a c c e p t e d .     - o   O U T P U T D I R ,   - - o u t p u t d i r   O U T P U T D I R
其 中 还 有 一 个 隐 藏 的 “ — d e b u g ” 选 项 ， 该 选 项 可 以 启 用 调 试 模 式 输 出 。 工 具 使 用 样 例 工 具 使 用 样 例 下 列 命 令 会 将 S Y S T E M 注 册 表 信 息 拷 贝 至 e : o u t p u t d i r ， 新 文 件 路 径 为 “ e : o u t p u t d i r w i n d o w s s y s t e m 3 2 c o n f i g S Y S T E M ” ： 下 列 命 令 会 将 S Y S T E M 注 册 表 信 息 拷 贝 至 e : o u t p u t d i r ， 但 是 会 忽 略 之 前 缓 存 的 文 件 ， 并 且 不 会 将 当 前 缓 存 保 存 至 磁 盘 中 ： 下 列 命 令 会 将 S Y S T E M 和 S O F T W A R E 注 册 表 信 息 拷 贝 至 e : o u t p u t d i r ： 下 列 命 令 可 以 将 目 录 配 置 内 容 拷 贝 至 e : o u t p u t d i r ： 下 列 命 令 可 以 将 目 录 配 置 内 容 递 归 拷 贝 至 e : o u t p u t d i r ： 下 列 命 令 可 以 将 每 一 个 用 户 N T U S E R . D A T 文 件 拷 贝 至 e : o u t p u t d i r ： 针 对 每 一 个 用 户 ， 拷 贝 所 有 以 N T U S E R . D A T 开 头 的 文 件 至 e : o u t p u t d i r ： 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦                                                 D i r e c t o r y   t o   c o p y   f i l e s   t o o .   C o p y   w i l l   k e e p   p a t h s     - i ,   - - i g n o r e _ s a v e d _ r e f _ n u m s                                                 S c r i p t   s t o r e s   t h e   R e f e r e n c e   n u m b e r s   a n d   p a t h   i n f o   t o                                                 s p e e d   u p   i n t e r n a l   r u n .   T h i s   o p t i o n   w i l l   i g n o r e   a n d   n o t                                                 s a v e   t h e   s t o r e d   M F T   r e f e r e n c e   n u m b e r s   a n d   p a t h     - r ,   - - r e c u r s i v e               R e c u r s i v e l y   c o p i e s   d i r e c t o r y .   N o t e   t h i s   o n l y   w o r k s   w i t h                                                 d i r e c t o r i e s . T S c o p y _ x 6 4 . e x e   - f   c : w i n d o w s s y s t e m 3 2 c o n f i g S Y S T E M   - o   e : o u t p u t d i r T S c o p y _ x 6 4 . e x e   - f   c : w i n d o w s s y s t e m 3 2 c o n f i g S Y S T E M , c : w i n d o w s s y s t e m 3 2 c o n f i g S O F T W A R E   - o   e : o u t p u t d i r T S c o p y _ x 6 4 . e x e   - f   c : w i n d o w s s y s t e m 3 2 c o n f i g   - o   e : o u t p u t d i r T S c o p y _ x 6 4 . e x e   - r   - f   c : w i n d o w s s y s t e m 3 2 c o n f i g   - o   e : o u t p u t d i r T S c o p y _ x 6 4 . e x e     - f   c : u s e r s * n t u s e r . d a t   - o   e : o u t p u t d i r T S c o p y _ x 6 4 . e x e     - f   c : u s e r s * n t u s e r . d a t *   - o   e : o u t p u t d i r T S c o p y _ x 6 4 . e x e     - f   c : u s e r s * A p p D a t a R o a m i n g M i c r o s o f t W i n d o w s R e c e n t , c : w i n d o w s s y s t e m 3 2 c o n f i g , c : u s e r s * A p p D a t a R o a m i n g M i c r o s o f t W i n d o w s P o w e r S h e l l P S R e a d L i n e C o n s o l e H o s t _ h i s t o r y . t x t - o   e : o u t p u t d i r
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理