搜索

[14526] 2019-08-29_如何获得PowerShell命令的历史记录

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-18
2019-08-29_如何获得PowerShell命令的历史记录 如 何 获 得 P o w e r S h e l l 命 令 的 历 史 记 录 F r e e B u f   2 0 1 9 - 0 8 - 2 9 0 x 0 0 前 言 前 言 我 在 最 近 的 学 习 过 程 中 ， 发 现 我 在 最 近 的 学 习 过 程 中 ， 发 现 P o w e r S h e l l 的 命 令 的 历 史 记 录 有 时 会 包 含 系 统 敏 感 信 息 ， 例 如 远 程 服 务 器 的 连 接 口 令 ， 于 是 我 对 的 命 令 的 历 史 记 录 有 时 会 包 含 系 统 敏 感 信 息 ， 例 如 远 程 服 务 器 的 连 接 口 令 ， 于 是 我 对 P o w e r S h e l l 的 的 历 史 记 录 功 能 做 了 进 一 步 的 的 历 史 记 录 功 能 做 了 进 一 步 研 究 ， 总 结 一 些 渗 透 测 试 中 常 用 导 出 历 史 记 录 的 方 法 ， 结 合 利 用 思 路 ， 给 出 防 御 建 议 。 研 究 ， 总 结 一 些 渗 透 测 试 中 常 用 导 出 历 史 记 录 的 方 法 ， 结 合 利 用 思 路 ， 给 出 防 御 建 议 。 0 x 0 1 简 介 简 介 本 文 将 要 介 绍 以 下 内 容 ： 1 . 两 种 P o w e r S h e l l 的 命 令 的 历 史 记 录 2 . 导 出 P o w e r S h e l l 的 命 令 历 史 记 录 的 方 法 3 . 防 御 建 议 0 x 0 2 两 种 两 种 P o w e r s h e l l 命 令 的 历 史 记 录 命 令 的 历 史 记 录 记 录 P o w e r S h e l l 的 命 令 的 历 史 记 录 有 两 种 方 式 ， 分 别 柯 林 斯 使 用 G e t - H i s t o r y 状 语 从 句 ： G e t - P S R e a d l i n e O p t i o n 读 取 1 ， 获 取 ， 获 取 - 历 史 历 史 参 考 文 档 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / p o w e r s h e l l / m o d u l e / M i c r o s o f t . P o w e r S h e l l . C o r e / G e t - H i s t o r y ? v i e w = p o w e r s h e l l - 3 . 0 默 认 P o w e r s h e l l   v 2 及 以 上 支 持 能 够 记 录 当 前 会 话 中 输 入 的 命 令 ， 多 个 P o w e r S h e l l 的 进 程 之 间 不 共 享 ， P o w e r s h e l l 的 进 程 退 出 后 自 动 清 除 所 有 记 录 。 1 . 常 用 命 令 常 用 命 令 获 得 历 史 记 录 的 完 整 信 息 ： 包 括 ： I D 命 令 行 E x e c u t i o n S t a t u s S t a r t E x e c u t i o n T i m e E n d E x e c u t i o n T i m e 测 试 如 下 图 : 删 除 所 有 历 史 记 录 ： 按 I D 号 删 除 命 令 ： 2 . 利 用 思 路 利 用 思 路 获 得 了 一 台 视 窗 系 统 的 权 限 ， 发 现 后 台 有 P o w e r S h e l l 的 进 程 ， 想 要 读 取 P o w e r S h e l l 的 进 程 中 的 历 史 记 录 。 （ 1 ） P o w e r s h e l l 的 进 程 无 法 接 收 键 盘 输 入 命 令 例 如 P o w e r S h e l l 的 加 载 了 一 个 在 后 台 运 行 的 脚 本 ： P o w e r s h e l l   - e p   b y p a s s   - f   1 . p s 1 此 时 无 法 向 P o w e r s h e l l 的 进 程 发 送 键 盘 消 息 ， 这 时 可 以 通 过 读 取 进 程 的 命 令 行 参 数 获 得 有 用 的 信 息 ， 开 源 代 码 ： h t t p s : / / g i t h u b . c o m / 3 g s t u d e n t / H o m e w o r k - o f - C - L a n g u a g e / b l o b / m a s t e r / G e t P r o c e s s C o m m a n d L i n e . c p p 代 码 实 现 了 读 取 指 定 进 程 的 命 令 行 参 数 ， 通 常 能 够 获 得 有 用 的 信 息 。 （ 2 ） P o w e r s h e l l 的 进 程 能 够 接 收 键 盘 输 入 命 令 这 里 可 以 模 拟 发 送 键 盘 消 息 ， 导 出 历 史 记 录 程 序 实 现 思 路 ： 通 过 遍 历 枚 举 所 有 窗 口 通 过 G e t W i n d o w T h r e a d P r o c e s s I d 从 窗 口 （ H W N D ） 获 得 P I D 比 较 P I D ， 找 到 符 合 条 件 的 窗 口 G e t - H i s t o r y   |   F o r m a t - L i s t   - P r o p e r t y   * C l e a r - H i s t o r y C l e a r - H i s t o r y   - I d   3
向 符 合 条 件 的 窗 口 发 送 键 盘 消 息 （ P o s t M e s s a g e 的 ） 程 序 细 节 ： 1 . 虚 拟 密 钥 代 码 每 一 个 键 盘 输 入 消 息 对 应 一 个 虚 拟 密 钥 代 码 参 考 资 料 ： h t t p s ： / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / d e s k t o p / i n p u t d e v / v i r t u a l - k e y - c o d e s 需 要 模 拟 键 盘 按 下 和 键 盘 抬 起 两 个 操 作 ， 开 源 的 测 试 代 码 ： h t t p s : / / g i t h u b . c o m / 3 g s t u d e n t / H o m e w o r k - o f - C - L a n g u a g e / b l o b / m a s t e r / S e n d K e y b o a r d M e s s a g e T o P o w e r s h e l l . c p p 代 码 实 现 了 搜 索 指 定 P I D 的 进 程 ， 向 进 程 发 送 键 盘 消 息 ， 内 容 为 ： w h o a m i 2 . 导 出 历 史 记 录 命 令 如 下 ： 其 中 需 要 考 虑 字 符 ” | ” ， ” $ ” 和 ” ” ” ， 模 拟 键 盘 输 入 时 需 要 加 S h i f t 键 的 这 里 实 现 方 法 的 英 文 先 使 用 k e y b d _ e v e n t 按 下 S h i f t 键 ， 再 用 P o s t M e s s a g e 发 送 按 键 的 字 母 ， 最 后 抬 起 两 个 按 键 开 源 的 测 试 代 码 ： h t t p s : / / g i t h u b . c o m / 3 g s t u d e n t / H o m e w o r k - o f - C - L a n g u a g e / b l o b / m a s t e r / S e n d K e y b o a r d M e s s a g e T o P o w e r s h e l l ( G e t - H i s t o r y ) . c p p . c p p ) 代 码 实 现 了 搜 索 指 定 P I D 的 进 程 ， 向 进 程 发 送 键 盘 消 息 ， 内 容 为 ： G e t - H i s t o r y | e x p o r t - c s v   $ e n v : t e m p ” h i s t o r y . c s v ” 3 . 补 充 ： 查 看 补 充 ： 查 看 c m d . e x e 的 历 史 记 录 的 历 史 记 录 命 令 如 下 ： 清 空 ： 也 可 以 通 过 发 送 键 盘 消 息 的 方 式 导 出 的 c m d . e x e 的 命 令 历 史 记 录 2 ， 获 取 ， 获 取 - P S R e a d l i n e O p t i o n 参 考 文 档 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / p o w e r s h e l l / m o d u l e / p s r e a d l i n e / ? v i e w = p o w e r s h e l l - 5 . 1 默 认 P o w e r s h e l l   v 5 支 持 P o w e r s h e l l   v 3 和 P o w e r s h e l l   v 4 ， 需 要 安 装 G e t - P S R e a d l i n e O p t i o n 后 才 可 以 使 用 。 安 装 后 ， 所 有 P o w e r s h e l l 的 命 令 的 历 史 记 录 会 保 存 在 同 一 位 置 ， 可 随 时 查 看 。 1 .   P o w e r s h e l l   v 3 和 和 P o w e r s h e l l   v 4 的 安 装 和 使 用 的 安 装 和 使 用 这 里 以 6 4 位 系 统 为 例 ， 安 装 方 法 如 下 ： （ （ 1 ） 安 装 ） 安 装 P o w e r S h e l l G e t 下 载 ： h t t p s : / / w w w . m i c r o s o f t . c o m / e n - u s / d o w n l o a d / d e t a i l s . a s p x ? i d = 5 1 4 5 1 注 ： 注 ： 安 装 前 需 要 关 闭 的 P o w e r S h e l l 进 程 可 以 通 过 命 令 行 实 现 隐 蔽 安 装 ， 命 令 如 下 ： 安 装 成 功 后 ， 在 控 制 面 板 的 已 安 装 程 序 列 表 （ 控 制 面 板 程 序 程 序 和 功 能 ） 有 显 示 ： P a c k a g e   M a n a g e m e n t   P r e v i e w   -   x 6 4 P a c k a g e   M a n a g e m e n t   P r e v i e w   -   x 6 4 的 注 册 表 路 径 为 H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n U n i n s t a l l { 5 7 E 5 A 8 B B - 4 1 E B - 4 F 0 9 - B 3 3 2 - B 5 3 5 C 5 9 5 4 A 2 8 } 只 需 要 删 除 这 个 注 册 表 项 及 子 项 即 可 实 现 在 已 安 装 程 序 列 表 中 隐 藏 删 除 注 册 表 项 的 C M D 命 令 ： （ （ 2 ） 安 装 ） 安 装 P S R e a d L i n e 通 过 安 装 - 模 块 命 令 安 装 ： 弹 出 提 示 ： 再 次 需 要 输 入 侧 Y 进 行 安 装 如 果 需 要 实 现 一 键 安 装 ， 可 以 先 安 装 的 N u G e t ， 再 安 装 P S R e a d L i n e ， 完 整 命 令 如 下 ： G e t - H i s t o r y | e x p o r t - c s v   $ e n v : t e m p " h i s t o r y . c s v " d o s k e y   / h d o s k e y   / r e i n s t a l l m s i e x e c   / q   / i   P a c k a g e M a n a g e m e n t _ x 6 4 . m s i r e g   d e l e t e   H K L M S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n U n i n s t a l l { 5 7 E 5 A 8 B B - 4 1 E B - 4 F 0 9 - B 3 3 2 - B 5 3 5 C 5 9 5 4 A 2 8 }   / f I n s t a l l - M o d u l e   - N a m e   P S R e a d L i n e N u G e t   p r o v i d e r   i s   r e q u i r e d   t o   c o n t i n u e P o w e r S h e l l G e t   r e q u i r e s   N u G e t   p r o v i d e r   v e r s i o n   ' 2 . 8 . 5 . 2 0 1 '   o r   n e w e r   t o   i n t e r a c t w i t h   N u G e t - b a s e d   r e p o s i t o r i e s .   T h e   N u G e t   p r o v i d e r   m u s t   b e   a v a i l a b l e   i n ' C : P r o g r a m   F i l e s P a c k a g e M a n a g e m e n t P r o v i d e r A s s e m b l i e s '   o r ' C : U s e r s A d m i n i s t r a t o r A p p D a t a L o c a l P a c k a g e M a n a g e m e n t P r o v i d e r A s s e m b l i e s ' . Y o u   c a n   a l s o   i n s t a l l   t h e   N u G e t   p r o v i d e r   b y   r u n n i n g   ' I n s t a l l - P a c k a g e P r o v i d e r - N a m e   N u G e t   - M i n i m u m V e r s i o n   2 . 8 . 5 . 2 0 1   - F o r c e ' .   D o   y o u   w a n t   P o w e r S h e l l G e t   t o i n s t a l l   a n d   i m p o r t   t h e   N u G e t   p r o v i d e r   n o w ? [ Y ]   Y e s     [ N ]   N o     [ S ]   S u s p e n d     [ ? ]   H e l p   ( d e f a u l t   i s   " Y " ) :
（ （ 3 ） 使 用 ） 使 用 所 有 的 P o w e r S h e l l 命 令 将 会 保 存 在 固 定 位 置 ： % a p p d a t a % M i c r o s o f t W i n d o w s P o w e r S h e l l P S R e a d l i n e C o n s o l e H o s t _ h i s t o r y . t x t 查 看 命 令 的 历 史 记 录 ： 清 除 命 令 的 历 史 记 录 ： 2 . 利 用 思 路 利 用 思 路 获 得 了 视 窗 系 统 的 访 问 权 限 ， 首 先 查 看 P o w e r s h e l l 的 版 本 ， 如 果 是 第 5 版 ， 通 过 柯 林 斯 读 取 文 件 % a p p d a t a % M i c r o s o f t W i n d o w s P o w e r S h e l l P S R e a d l i n e C o n s o l e H o s t _ h i s t o r y . t x t 获 得 历 史 记 录 。 如 果 系 统 是 P o w e r s h e l l   v 3 或 P o w e r s h e l l   v 4 ， 可 通 过 命 令 行 安 装 P S R e a d L i n e ， 这 样 就 能 记 录 后 续 系 统 所 有 的 P o w e r s h e l l 命 令 。 0 x 0 3 防 御 建 议 防 御 建 议 如 果 使 用 高 版 本 的 视 窗 系 统 ， 如 W i n 1 0 ， 默 认 P o w e r S h e l l 的 版 本 为 5 . 0 ， 会 记 录 P o w e r S h e l l 的 的 命 令 ， 建 议 定 时 进 行 清 除 ， 位 置 ： % a p p d a t a % M i c r o s o f t W i n d o w s P o w e r S h e l l P S R e a d l i n e C o n s o l e H o s t _ h i s t o r y . t x t 清 除 命 令 的 历 史 记 录 ： 对 于 低 版 本 的 P o w e r s h e l l 的 ， 如 果 命 令 中 包 含 敏 感 信 息 （ 如 远 程 连 接 的 口 令 ） ， 需 要 及 时 清 除 ， 命 令 为 ： C l e a r - H i s t o r y 对 于 c m d . e x e 的 ， 如 果 命 令 中 包 含 敏 感 信 息 （ 如 远 程 连 接 的 口 令 ） ， 需 要 及 时 清 除 ， 命 令 为 ： d o s k e y   / r e i n s t a l l p s : 本 文 介 绍 了 两 种 P o w e r S h e l l 的 命 令 的 历 史 记 录 ， 总 结 常 用 导 出 历 史 记 录 的 方 法 ， 结 合 利 用 思 路 ， 给 出 防 御 建 议 。 * 本 文 作 者 ： 本 文 作 者 ： 线 性 代 数 线 性 代 数 l z h ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 I n s t a l l - P a c k a g e P r o v i d e r   - N a m e   N u G e t   - M i n i m u m V e r s i o n   2 . 8 . 5 . 2 0 1   - F o r c e S e t - P S R e p o s i t o r y   - N a m e   P S G a l l e r y   - I n s t a l l a t i o n P o l i c y   T r u s t e d I n s t a l l - M o d u l e   - N a m e   P S R e a d L i n e G e t - C o n t e n t   ( G e t - P S R e a d l i n e O p t i o n ) . H i s t o r y S a v e P a t h R e m o v e - I t e m   ( G e t - P S R e a d l i n e O p t i o n ) . H i s t o r y S a v e P a t h R e m o v e - I t e m   ( G e t - P S R e a d l i n e O p t i o n ) . H i s t o r y S a v e P a t h
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理