搜索

[10858] 2016-12-24_恶意程序分析利器PowerShellArsenal

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2016-12-24_恶意程序分析利器PowerShellArsenal 恶 意 程 序 分 析 利 器 P o w e r S h e l l A r s e n a l z u s h e n g   F r e e B u f   2 0 1 6 - 1 2 - 2 4 简 介 简 介 P o w e r S h e l l A r s e n a l 是 一 个 是 一 个 P o w e r S h e l l 模 块 ， 它 的 功 能 是 帮 助 逆 向 工 程 师 来 分 析 模 块 ， 它 的 功 能 是 帮 助 逆 向 工 程 师 来 分 析 . N E T 恶 意 软 件 ， 恶 意 软 件 ， P o w e r S h e l l A r s e n a l 的 功 能 非 常 的 功 能 非 常 强 大 ， 它 可 以 反 汇 编 强 大 ， 它 可 以 反 汇 编 . N E T 恶 意 软 件 、 分 析 和 抓 取 内 存 、 解 析 文 件 格 式 和 内 存 结 构 ， 获 取 内 部 系 统 信 息 等 。 恶 意 软 件 、 分 析 和 抓 取 内 存 、 解 析 文 件 格 式 和 内 存 结 构 ， 获 取 内 部 系 统 信 息 等 。 D i s a s s e m b l y D i s a s s e m b l y 反 汇 编 代 码 G e t - C S D i s a s s e m b l y 使 用 C a p s t o n e   E n g i n e 反 汇 编 引 擎 反 汇 编 代 码 使 用 方 法 ： G e t - C S D i s a s s e m b l y   - A r c h i t e c t u r e   { A r m   |   A r m 6 4   |   M i p s   |   X 8 6   |   P P C   |   C S _ A R C H _ A L L }   - M o d e   { L i t t l e E n d i a n   |   A r m   |   M o d e 1 6   | M o d e 3 2   |   M o d e 6 4   |   T h u m b   |   M i c r o   |   N 6 4   |   B i g E n d i a n }   - C o d e   < B y t e [ ] >   [ - O f f s e t   < U I n t 6 4 > ]   [ - C o u n t   < U I n t 3 2 > ]   [ - S y n t a x   < S   t r i n g > ]   [ - D e t a i l O n ] [ < C o m m o n P a r a m e t e r s > ] G e t - I L D i s a s s e m b l y M S I L （ M i c r o s o f t   I n t e r m e d i a t e   L a n g u a g e   （ M S I L ） 微 软 中 间 语 言 。 ） 反 汇 编 器 。 使 用 方 法 ： G e t - I L D i s a s s e m b l y   - A s s e m b l y P a t h   < S t r i n g >   - M e t a d a t a T o k e n   < I n t 3 2 >   [ < C o m m o n P a r a m e t e r s > ] G e t - I L D i s a s s e m b l y   - M e t h o d I n f o   < M e t h o d B a s e >   [ < C o m m o n P a r a m e t e r s > ]   G e t - I L D i s a s s e m b l y   - M e t h o d D e f   < M e t h o d D e f > [ < C o m m o n P a r a m e t e r s > ] M a l w a r e A n a l y s i s M a l w a r e A n a l y s i s 分 析 恶 意 软 件 时 需 要 用 到 的 工 具 。 N e w - F u n c t i o n D e l e g a t e 提 供 了 一 个 X 8 6 或 x 8 6 _ 6 4 功 能 的 可 执 行 包 装 。 使 用 方 法 ： N e w - F u n c t i o n D e l e g a t e   [ [ - P a r a m e t e r s ]   < T y p e [ ] > ]   [ [ - R e t u r n T y p e ]   < T y p e > ]   [ - F u n c t i o n B y t e s ]   < B y t e [ ] >   [ [ - C a l l i n g C o n v e n t i o n ]   { W i n a p i   |   C d e c l   |   S t d C a l l   |   T h i s C a l l   |   F a s t C a l l } ]   [ - D e b u g B r e a k ]   [ < C o m m o n P a r a m e t e r s > ] I n v o k e - L o a d L i b r a r y
主 要 调 用 k e r n e l 3 2 ! L o a d L i b r a r y 用 于 恶 意 软 件 分 析 ， 将 D L L 加 载 到 当 前 的 P o w e r S h e l l 进 程 中 。 使 用 方 法 ： I n v o k e - L o a d L i b r a r y   [ - F i l e N a m e ]   < S t r i n g >   [ < C o m m o n P a r a m e t e r s > ] N e w - D l l E x p o r t F u n c t i o n N e w - D l l E x p o r t F u n c t i o n 接 受 一 个 模 块 ， 然 后 导 出 p r o c e d u r e   n a m e ， 返 回 类 型 、 参 数 类 型 。 最 后 创 建 一 个 托 管 的 委 托 ， 可 用 于 执 行 非 托 管 函 数 。 使 用 方 法 ： N e w - D l l E x p o r t F u n c t i o n   [ - M o d u l e ]   < P r o c e s s M o d u l e >   [ - P r o c e d u r e N a m e ]   < S t r i n g >   [ [ - P a r a m e t e r s ]   < T y p e [ ] > ]   [ [ - R e t u r n T y p e ]   < T y p e > ]   [ < C o m m o n P a r a m e t e r s > ] G e t - H o s t s F i l e 解 析 H O S T S 文 件 使 用 方 法 ： G e t - H o s t s F i l e   [ [ - P a t h ]   < S t r i n g > ]   [ - S h o w ]   [ < C o m m o n P a r a m e t e r s > ] N e w - H o s t s F i l e E n t r y 替 换 或 添 加 内 容 到 H O S T S 文 件 使 用 方 法 ： N e w - H o s t s F i l e E n t r y   [ - I P A d d r e s s ]   < I P A d d r e s s >   [ - H o s t n a m e ]   < S t r i n g >   [ [ - C o m m e n t ]   < S t r i n g > ]   [ - P a t h   < S t r i n g > ]   [ - P a s s T h r u ] [ - S h o w ]   [ < C o m m o n P a r a m e t e r s > ] R e m o v e - H o s t s F i l e E n t r y 从 H O S T S 文 件 中 删 除 内 容 使 用 方 法 ： R e m o v e - H o s t s F i l e E n t r y   - I P A d d r e s s   < I P A d d r e s s >   [ - P a t h   < S t r i n g > ]   [ - P a s s T h r u ]   [ - S h o w ]   [ < C o m m o n P a r a m e t e r s > ] R e m o v e - H o s t s F i l e E n t r y   - H o s t n a m e   < S t r i n g >   [ - P a t h   < S t r i n g > ]   [ - P a s s T h r u ]   [ - S h o w ]   [ < C o m m o n P a r a m e t e r s > ]   R e m o v e - H o s t s F i l e E n t r y   [ - P a t h < S t r i n g > ]   [ - P a s s T h r u ]   [ - S h o w ]   [ - H o s t s E n t r y   < P S O b j e c t [ ] > ]   [ < C o m m o n P a r a m e t e r s > ] G e t - A s s e m b l y S t r i n g s 输 出 . N E T 可 执 行 文 件 所 有 定 义 的 字 符 串 使 用 方 法 ：
G e t - A s s e m b l y S t r i n g s   - A s s e m b l y P a t h   < S t r i n g >   [ - H e a p T y p e   < S t r i n g > ]   [ - R a w ]   [ < C o m m o n P a r a m e t e r s > ] G e t - A s s e m b l y S t r i n g s   - A s s e m b l y B y t e s   < B y t e [ ] >   [ - H e a p T y p e   < S t r i n g > ]   [ - R a w ]   [ < C o m m o n P a r a m e t e r s > ]   G e t - A s s e m b l y S t r i n g s   - A s s e m b l y I n f o < A s s e m b l y >   [ - H e a p T y p e   < S t r i n g > ]   [ - R a w ]   [ < C o m m o n P a r a m e t e r s > ] G e t - A s s e m b l y R e s o u r c e s 提 取 程 序 中 的 资 源 G e t - A s s e m b l y R e s o u r c e s   - A s s e m b l y P a t h   < S t r i n g >   [ < C o m m o n P a r a m e t e r s > ] G e t - A s s e m b l y R e s o u r c e s   - A s s e m b l y B y t e s   < B y t e [ ] >   [ < C o m m o n P a r a m e t e r s > ]   G e t - A s s e m b l y R e s o u r c e s   - A s s e m b l y I n f o   < A s s e m b l y > [ < C o m m o n P a r a m e t e r s > ] R e m o v e - A s s e m b l y S u p p r e s s I l d a s m A t t r i b u t e 从 . N E T 程 序 集 中 删 除 S u p p r e s s I l d a s m A t t r i b u t e 属 性 。 使 用 方 法 ： R e m o v e - A s s e m b l y S u p p r e s s I l d a s m A t t r i b u t e   - A s s e m b l y P a t h   < S t r i n g >   - F i l e P a t h   < S t r i n g >   [ < C o m m o n P a r a m e t e r s > ] R e m o v e - A s s e m b l y S u p p r e s s I l d a s m A t t r i b u t e   - A s s e m b l y B y t e s   < B y t e [ ] >   - F i l e P a t h   < S t r i n g >   [ < C o m m o n P a r a m e t e r s > ]   R e m o v e - A s s e m b l y S u p p r e s s I l d a s m A t t r i b u t e   - A s s e m b l y I n f o   < A s s e m b l y >   - F i l e P a t h   < S t r i n g >   [ < C o m m o n P a r a m e t e r s > ] G e t - A s s e m b l y I m p l e m e n t e d M e t h o d s 返 回 程 序 的 所 有 方 法 。 使 用 方 法 ： G e t - A s s e m b l y I m p l e m e n t e d M e t h o d s   - A s s e m b l y P a t h   < S t r i n g >   [ < C o m m o n P a r a m e t e r s > ] G e t - A s s e m b l y I m p l e m e n t e d M e t h o d s   - A s s e m b l y B y t e s   < B y t e [ ] >   [ < C o m m o n P a r a m e t e r s > ]   G e t - A s s e m b l y I m p l e m e n t e d M e t h o d s   - A s s e m b l y I n f o < A s s e m b l y >   [ < C o m m o n P a r a m e t e r s > ] M e m o r y T o o l s M e m o r y T o o l s 检 查 和 分 析 进 程 内 存 G e t - P r o c e s s S t r i n g s 输 出 一 个 进 程 的 用 户 模 式 内 存 中 所 以 可 打 印 的 字 符 串 使 用 方 法 ： G e t - P r o c e s s S t r i n g s   [ - P r o c e s s I D ]   < I n t 3 2 >   [ - M i n i m u m L e n g t h   < U I n t 1 6 > ]   [ - E n c o d i n g   < S t r i n g > ]   [ - I n c l u d e I m a g e s ]   [ < C o m m o n P a r a m e t e r s > ] G e t - V i r t u a l M e m o r y I n f o
调 用 的 k e r n e l 3 2 ! V i r t u a l Q u e r y E x 使 用 方 法 ： G e t - V i r t u a l M e m o r y I n f o   [ - P r o c e s s I D ]   < I n t 3 2 >   [ - M o d u l e B a s e A d d r e s s ]   < I n t P t r >   [ - P a g e S i z e   < I n t 3 2 > ]   [ < C o m m o n P a r a m e t e r s > ] G e t - P r o c e s s M e m o r y I n f o 类 似 于 ! v a d u m p   W i n D b g 命 令 使 用 方 法 ： G e t - P r o c e s s M e m o r y I n f o   [ - P r o c e s s I D ]   < I n t 3 2 >   [ < C o m m o n P a r a m e t e r s > ] G e t - S t r u c t F r o m M e m o r y 将 数 据 从 任 意 进 程 中 的 非 托 管 内 存 块 调 度 到 新 分 配 的 指 定 类 型 的 托 管 对 象 。 G e t - S t r u c t F r o m M e m o r y   [ - I d ]   < U I n t 1 6 >   [ - M e m o r y A d d r e s s ]   < I n t P t r >   [ - S t r u c t T y p e ]   < T y p e >   [ < C o m m o n P a r a m e t e r s > ] P a r s e r s P a r s e r s 解 析 文 件 格 式 和 内 存 结 构 G e t - P E 分 析 内 存 和 磁 盘 上 文 件 的 P E 头 使 用 方 法 ：   G e t - P E   [ - F i l e P a t h ]   < S t r i n g [ ] >   [ - I g n o r e M a l f o r m e d P E ]   [ ] G e t - P E   [ - P r o c e s s I D ]   < I n t 3 2 >   [ [ - M o d u l e B a s e A d d r e s s ]   < I n t P t r > ]   [ [ - M o d u l e ]   < P r o c e s s M o d u l e [ ] > ]   [ - D u m p D i r e c t o r y   < S t r i n g > ] [ - I g n o r e M a l f o r m e d P E ]   [ < C o m m o n P a r a m e t e r s > ]   G e t - P E   [ - F i l e B y t e s ]   < B y t e [ ] >   [ - I g n o r e M a l f o r m e d P E ]   [ < C o m m o n P a r a m e t e r s > ] F i n d - P r o c e s s P E s 在 内 存 中 查 找 可 移 植 的 可 执 行 文 件 ， 而 不 管 它 们 是 否 以 合 法 方 式 加 载 使 用 方 法 ： F i n d - P r o c e s s P E s   [ - P r o c e s s I D ]   < I n t 3 2 >   [ < C o m m o n P a r a m e t e r s > ] G e t - L i b S y m b o l s 显 示 来 自 W i n d o w s   L I B 文 件 的 符 号 信 息 。 使 用 方 法 ： G e t - L i b S y m b o l s   [ - P a t h ]   < S t r i n g [ ] >   [ < C o m m o n P a r a m e t e r s > ] G e t - O b j D u m p
显 示 有 关 W i n d o w s 对 象 （ O B J ） 文 件 的 信 息 。 使 用 方 法 ： G e t - O b j D u m p   [ - P a t h ]   < S t r i n g [ ] >   [ < C o m m o n P a r a m e t e r s > ] W i n d o w s I n t e r n a l s W i n d o w s I n t e r n a l s 获 取 并 分 析 低 级 别 的 W i n d o w s 操 作 系 统 的 信 息 。 G e t - N t S y s t e m I n f o r m a t i o n 一 个 实 用 的 程 序 ， 调 用 n t d l l ! N t Q u e r y S y s t e m I n f o r m a t i o n 函 数 ， 可 用 于 查 询 通 常 对 用 户 不 可 见 的 内 部 操 作 系 统 信 息 。 使 用 方 法 ： G e t - N t S y s t e m I n f o r m a t i o n   [ - P o o l T a g I n f o r m a t i o n ]   [ < C o m m o n P a r a m e t e r s > ] G e t - N t S y s t e m I n f o r m a t i o n   [ - M o d u l e I n f o r m a t i o n ]   [ < C o m m o n P a r a m e t e r s > ]   G e t - N t S y s t e m I n f o r m a t i o n   [ - H a n d l e I n f o r m a t i o n ]   [ - O b j e c t T y p e < S t r i n g > ]   [ < C o m m o n P a r a m e t e r s > ]   G e t - N t S y s t e m I n f o r m a t i o n   [ - O b j e c t I n f o r m a t i o n ]   [ < C o m m o n P a r a m e t e r s > ]   G e t - N t S y s t e m I n f o r m a t i o n   [ - L o c k I n f o r m a t i o n ]   [ < C o m m o n P a r a m e t e r s > ]   G e t - N t S y s t e m I n f o r m a t i o n   [ - C o d e I n t e g r i t y I n f o r m a t i o n ]   [ < C o m m o n P a r a m e t e r s > ]   G e t - N t S y s t e m I n f o r m a t i o n   [ - G l o b a l F l a g s ]   [ < C o m m o n P a r a m e t e r s > ] G e t - P E B 返 回 一 个 进 程 的 进 程 环 境 块 （ P E B ） 。 使 用 方 法 ： G e t - P E B   [ - I d ]   < U I n t 1 6 [ ] >   [ < C o m m o n P a r a m e t e r s > ] R e g i s t e r - P r o c e s s M o d u l e T r a c e 跟 踪 加 载 进 程 的 模 块 使 用 方 法 ： R e g i s t e r - P r o c e s s M o d u l e T r a c e   [ < C o m m o n P a r a m e t e r s > ] G e t - P r o c e s s M o d u l e T r a c e 显 示 已 加 载 自 调 用 R e g i s t e r - P r o c e s s M o d u l e T r a c e 流 程 模 块 使 用 方 法 : G e t - P r o c e s s M o d u l e T r a c e   [ < C o m m o n P a r a m e t e r s > ] U n r e g i s t e r - P r o c e s s M o d u l e T r a c e 停 止 正 在 运 行 的 进 程 模 块 跟 踪
使 用 方 法 ： U n r e g i s t e r - P r o c e s s M o d u l e T r a c e   [ < C o m m o n P a r a m e t e r s > ] G e t - S y s t e m I n f o 调 用 k e r n e l 3 2 ! G e t S y s t e m I n f o 来 获 取 系 统 的 一 些 信 息 。 使 用 方 法 ： G e t - S y s t e m I n f o   [ < C o m m o n P a r a m e t e r s > ] M i s c M i s c 其 他 的 辅 助 功 能 G e t - M e m b e r 用 于 扩 展 内 置 G e t - M e m b e r   c m d l e t 的 代 理 函 数 使 用 方 法 ： G e t - M e m b e r   [ - I n p u t O b j e c t   < P S O b j e c t > ]   [ [ - N a m e ]   < S t r i n g [ ] > ]   [ - M e m b e r T y p e   { A l i a s P r o p e r t y   |   C o d e P r o p e r t y   |   P r o p e r t y   | N o t e P r o p e r t y   |   S c r i p t P r o p e r t y   |   P r o p e r t i e s   |   P r o p e r t y S e t   |   M e t h o d   |   C o d e M e t h o d   |   S c r i p t M e t h o d   |   M e t h o d s   |   P a r a m e t e r   i z e d P r o p e r t y   | M e m b e r S e t   |   E v e n t   |   D y n a m i c   |   A l l } ]   [ - V i e w   { E x t e n d e d   |   A d a p t e d   |   B a s e   |   A l l } ]   [ - S t a t i c ]   [ - F o r c e ]   [ < C   o m m o n P a r a m e t e r s > ]   G e t - M e m b e r   [ - I n p u t O b j e c t   < P S O b j e c t > ]   [ [ - N a m e ]   < S t r i n g [ ] > ]   [ - P r i v a t e M e m b e r T y p e   { C o n s t r u c t o r   |   E v e n t   |   F i e l d   |   M e t h o   d   |   P r o p e r t y   |   T y p e I n f o   |   C u s t o m   | N e s t e d T y p e   |   A l l } ]   [ - S t a t i c ]   [ - F o r c e ]   [ - P r i v a t e ]   [ < C o m m o n P a r a m e t e r s > ] G e t - S t r i n g s G e t - S t r i n g s   c m d l e t 从 文 件 返 回 字 符 串 （ U n i c o d e 和 / 或 A s c i i ） 。   此 c m d l e t 对 转 储 字 符 串 很 有 用 。 使 用 方 法 ： G e t - S t r i n g s   [ - P a t h ]   < S t r i n g [ ] >   [ - E n c o d i n g   < S t r i n g > ]   [ - M i n i m u m L e n g t h   < U I n t 3 2 > ]   [ < C o m m o n P a r a m e t e r s > ] C o n v e r t T o - S t r i n g C o n v e r t T o - S t r i n g 执 行 二 进 制 正 则 表 达 式 非 常 有 用 。 使 用 方 法 ： C o n v e r t T o - S t r i n g   [ - P a t h ]   < S t r i n g >   [ < C o m m o n P a r a m e t e r s > ] G e t - E n t r o p y 计 算 文 件 或 字 节 数 组 的 熵 。 使 用 方 法 ：
G e t - E n t r o p y   [ - B y t e A r r a y ]   < B y t e [ ] >   [ < C o m m o n P a r a m e t e r s > ] G e t - E n t r o p y   [ - F i l e P a t h ]   < F i l e I n f o >   [ < C o m m o n P a r a m e t e r s > ] 项 目 地 址 项 目 地 址 项 目 地 址 项 目 地 址 h t t p s : / / g i t h u b . c o m / m a t t i f e s t a t i o n / P o w e r S h e l l A r s e n a l * 本 文 作 者 ： z u s h e n g ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理