搜索

[13740] 2019-02-08_从PowerShell内存转储中提取执行的脚本内容

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2019-02-08_从PowerShell内存转储中提取执行的脚本内容 从 P o w e r S h e l l 内 存 转 储 中 提 取 执 行 的 脚 本 内 容 周 大 涛   F r e e B u f   2 0 1 9 - 0 2 - 0 8 上 次 发 布 从 上 次 发 布 从 P o w e r S h e l l 流 程 转 储 中 提 取 活 动 历 史 记 录 之 后 ， 我 又 想 到 了 一 个 有 趣 的 问 题 ： 流 程 转 储 中 提 取 活 动 历 史 记 录 之 后 ， 我 又 想 到 了 一 个 有 趣 的 问 题 ： “ 是 否 可 以 提 取 已 执 行 是 否 可 以 提 取 已 执 行 的 脚 本 （ 来 自 磁 盘 ） 的 内 容 ， 即 使 这 些 文 件 未 被 捕 获 ？ 的 脚 本 （ 来 自 磁 盘 ） 的 内 容 ， 即 使 这 些 文 件 未 被 捕 获 ？ ” , 我 得 到 答 案 是 我 得 到 答 案 是 “ 是 是 ” ， 但 是 它 也 很 复 杂 。 这 将 需 要 大 量 ， 但 是 它 也 很 复 杂 。 这 将 需 要 大 量 的 的 W i n D b g 自 动 化 工 作 ， 因 此 第 一 步 ， 安 装 自 动 化 工 作 ， 因 此 第 一 步 ， 安 装 W i n D b g 模 块 。 模 块 。 我 们 先 创 建 一 个 简 单 的 脚 本 。 打 开 P o w e r S h e l l 会 话 ， 运 行 脚 本 ， 然 后 创 建 转 储 文 件 。 现 在 ， 使 用 W i n D b g 模 块 连 接 到 转 储 文 件 ： 开 始 开 始 我 们 想 要 提 取 表 示 在 该 会 话 中 运 行 的 脚 本 的 对 象 （ 如 果 存 在 ） 。 但 我 们 如 何 找 到 这 些 呢 ？ C o n n e c t - D b g S e s s i o n   - A r g u m e n t L i s t   ' - z   " C : U s e r s l e e A p p D a t a L o c a l T e m p p o w e r s h e l l . D M P " '
首 先 ， 让 我 们 使 用 S O S 的 “ 转 储 对 象 ” 命 令 来 转 储 它 知 道 的 关 于 进 程 中 每 个 对 象 的 所 有 内 容 。 因 此 ， 我 们 将 从 命 令 开 始 查 找 所 有 对 象 实 例 （ 即 ： 我 们 甚 至 不 使 用 - T y p e 过 滤 器 ） 。 但 还 有 其 他 方 法 可 以 做 到 这 一 点 ， 但 这 一 步 和 下 一 步 将 需 要 很 长 时 间 。 一 旦 我 们 拥 有 所 有 对 象 引 用 ， 让 我 们 使 用 ( 转 储 对 象 命 令 ) 让 S O S 将 它 们 全 部 可 视 化 。 转 储 对 象 的 输 出 不 包 括 被 转 储 对 象 的 地 址 ， 因 此 我 们 也 将 使 用 A d d - M e m b e r 来 跟 踪 它 。 S O S 在 此 流 程 实 例 中 知 道 大 约 有 一 百 万 个 对 象 。 但 是 他 们 中 的 任 何 一 个 G U I D 都 会 被 S O S 可 视 化 吗 ? 看 起 来 我 们 很 幸 运 ！ 在 这 些 百 万 个 对 象 中 ， 我 们 设 法 将 其 缩 小 到 P o w e r S h e l l 内 存 中 的 7 个 S y s t e m . S t r i n g 对 象 ， 这 些 对 象 以 某 种 方 式 引 用 了 G U I D 。 如 果 我 们 认 为 信 息 可 能 一 直 在 S y s t e m . S t r i n g 中 ， 我 们 可 以 使 用 使 我 们 的 初 始 查 询 更 快 。 但 是 我 们 如 何 弄 清 楚 这 些 G U I D 的 是 什 么 ？ 为 了 找 到 答 案 答 案 ， 我 们 将 使 用 S O S 的 命 令 。 这 通 常 用 于 诊 断 托 管 内 存 泄 漏   , 命 令 会 告 诉 您 引 用 它 的 对 象 以 及 引 用 该 对 象 的 对 象   -   一 直 到 达 对 象 的 根 目 录 。 让 我 们 探 讨 一 下 这 些 根 源 。 第 5 项 根 植 于 对 象 数 组 ( S y s t e m . O b j e c t [ ] ) ， 其 中 一 个 元 素 是 ， 它 包 含 一 个 ， 它 又 包 含 ， 其 中 包 含 P o w e r S h e l l   A S T 中 的 节 点 ， 在 引 用 这 个 G U I D 的 命 令 A S T 中 触 底 。 这 是 我 实 例 中 的 第 4 项 ： ！ D u m p H e a p $ a l l R e f e r e n c e s   =   d b g   ! d u m p h e a p   - s h o r t ！ d o $   a l l O b j e c t s   =   $   a l l R e f e r e n c e s   |   F o r e a c h - O b j e c t   { $   o b j e c t   =   d b g “ ！ d o   $   ” ;   A d d - M e m b e r   - I n p u t O b j e c t   $   o b j e c t   A d d r e s s   $   - P a s s T h r u   - F o r c e } “ $ a l l R e f e r e n c e s   =   d b g   ! d u m p h e a p   – t y p e   S y s t e m . S t r i n g   – s h o r t ” “ $   a l l O b j e c t s ” ！ g c r o o t ！ g c r o o t C o n c u r r e n t D i c t i o n a r y S c r i p t B l o c k C o m p i l e d S c r i p t B l o c k D a t a
这 是 有 趣 的 ！ 这 个 开 头 是 相 同 的 根 对 象 数 组 （ 0 0 0 0 0 2 6 e 1 0 1 e 9 a 4 0 ） ， 相 同 的 C o n c u r r e n t D i c t i o n a r y （ 0 0 0 0 0 2 6 e 0 0 3 b c 4 4 0 ） ， 但 这 次 最 后 是 一 个 包 含 我 们 的 字 符 串 和 另 一 个 字 符 串 的 元 组 （ 两 个 项 目 的 简 单 配 对 ） 。 让 我 们 深 入 了 解 那 个 元 组 及 其 包 含 的 字 符 串 。 所 以 这 个 元 组 有 两 个 元 素 。 第 一 个 元 素 看 起 来 是 执 行 脚 本 的 路 径 ， 第 二 个 元 素 看 起 来 是 该 脚 本 中 的 内 容 。 让 我 们 看 看 P o w e r S h e l l   S o u r c e 对 这 些 数 据 结 构 。 我 将 搜 索 C o n c u r r e n t D i c t i o n a r y 以 查 看 我 能 找 到 的 内 容 。 在 第 三 页 ， 我 们 可 以 看 到 我 们 正 在 查 看 的 内 容 ： 有 一 个 名 为 的 类 。 它 包 含 一 个 名 为 的 静 态 （ 进 程 范 围 ） 缓 存 。 这 是 一 个 将 一 对 字 符 串 映 射 到 S c r i p t B l o c k 实 例 的 字 典 。 如 果 您 阅 读 了 源 代 码 ， 您 可 以 确 切 地 看 到 T u p l e 的 内 容   -   脚 本 路 径 到 S c r i p t B l o c k 缓 存 时 包 含 的 内 容 的 映 射 ： C o m p i l e d S c r i p t B l o c k “ s _ c a c h e d S c r i p t s ”
这 个 数 据 结 构 是 我 们 最 终 讨 论 的 内 容 。 出 于 性 能 原 因 ， P o w e r S h e l l 维 护 一 个 内 部 脚 本 块 缓 存 ， 这 样 每 次 看 到 脚 本 时 都 不 需 要 重 新 编 译 脚 本 块 。 该 缓 存 是 路 径 和 脚 本 内 容 的 关 键 。 存 储 在 缓 存 中 的 东 西 是 S c r i p t B l o c k 类 的 一 个 实 例 ， 它 包 含 （ 除 此 之 外 ） 编 译 的 脚 本 的 A S T 。 所 以 现 在 我 们 知 道 这 个 东 西 存 在 了 ， 我 们 可 以 在 自 动 化 中 更 智 能 ， 并 提 取 这 些 东 西 ！ 现 在 我 们 需 要 一 个 真 正 的 脚 本 ， 这 就 是 我 们 要 做 的 ： 1 .   使 用 ！ ！ d u m p h e a p 查 找 此 T u p l e 类 的 实 例 。 d u m p h e a p 命 令 执 行 子 字 符 串 搜 索 ， 因 此 我 们 将 使 用 正 则 表 达 式 进 行 一 些 后 处 理 。 2 .   这 给 了 我 们 实 际 想 要 研 究 的 元 组 类 的 M T 。 3 .   使 用 该 M T 作 为 过 滤 器 再 次 运 行 ！ d u m p h e a p 现 在 我 们 可 以 探 索 其 中 一 个 节 点 。 它 有 一 个 ， 我 们 可 以 深 入 研 究 。 m _ k e y
差 不 多 了 ！ 让 我 们 从 那 些 结 果 键 中 提 取 出 两 个 项 目 ， 然 后 生 成 一 个 漂 亮 的 P o w e r S h e l l 对 象 ： 这 是 一 个 将 所 有 这 些 打 包 成 函 数 的 脚 本 . * 参 考 来 源 ： * l e e h o l m e s ， 周 大 涛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 f u n c t i o n   G e t - S c r i p t B l o c k C a c h e {         $ n o d e T y p e   =   d b g   ! d u m p h e a p   - t y p e   C o n c u r r e n t D i c t i o n a r y   |                 S e l e c t - S t r i n g   ' C o n c u r r e n t D i c t i o n a r y . N o d e . T u p l e . S t r i n g . S t r i n g . ] ] $ '         $ n o d e M T   =   $ n o d e T y p e   |   C o n v e r t F r o m - S t r i n g   |   F o r e a c h - O b j e c t   P 1         $ n o d e A d d r e s s e s   =   d b g   ! d u m p h e a p   - m t   $ n o d e M T   - s h o r t         $ k e y s   =   $ n o d e A d d r e s s e s   |   %   {   d b g   ! d o   $ _   }   |   S e l e c t - S t r i n g   m _ k e y         $ k e y A d d r e s s e s   =   $ k e y s   |   C o n v e r t F r o m - S t r i n g   |   F o r e a c h - O b j e c t   P 7         f o r e a c h ( $ k e y A d d r e s s   i n   $ k e y A d d r e s s e s )   {                                             $ k e y O b j e c t   =   d b g   ! d o   $ k e y A d d r e s s                 $ i t e m 1   =   $ k e y O b j e c t   |   S e l e c t - S t r i n g   m _ I t e m 1   |   C o n v e r t F r o m - S t r i n g   |   %   P 7                                             $ s t r i n g 1   =   d b g   ! d o   $ i t e m 1   |   S e l e c t - S t r i n g   ' S t r i n g : s + ( . ) '   |   %   {   $ _ . M a t c h e s . G r o u p s [ 1 ] . V a l u e   }                 $ i t e m 2   =   $ k e y O b j e c t   |   S e l e c t - S t r i n g   m I t e m 2   |   C o n v e r t F r o m - S t r i n g   |   %   P 7                                             $ s t r i n g 2   =   d b g   ! d o   $ i t e m 2   |   S e l e c t - S t r i n g   ' S t r i n g : s + ( . * ) '   |   %   {   $ . M a t c h e s . G r o u p s [ 1 ] . V a l u e   }                 [ P S C u s t o m O b j e c t ]   @ {   P a t h   =   $ s t r i n g 1 ;   C o n t e n t   =   $ s t r i n g 2   }                                     }                             }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理