搜索

[16726] 2021-04-29_Powershell与威胁狩猎

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-04-29_Powershell与威胁狩猎 P o w e r s h e l l 与 威 胁 狩 猎 原 创   1 2 3 0 6 B r 0   F r e e B u f   2 0 2 1 - 0 4 - 2 9 P o w e r s h e l l 简 介 简 介 P o w e r S h e l l 是 一 种 功 能 强 大 的 脚 本 语 言 和 s h e l l 程 序 框 架 ， 主 要 用 于 W i n d o w s 计 算 机 方 便 管 理 员 进 行 系 统 管 理 并 有 可 能 在 未 来 取 代 W i n d o w s 上 的 默 认 命 令 提 示 符 。 P o w e r S h e l l 脚 本 因 其 良 好 的 功 能 特 性 常 用 于 正 常 的 系 统 管 理 和 安 全 配 置 工 作 ， 然 而 ， 这 些 特 性 被 攻 击 者 理 解 并 转 化 为 攻 击 特 性 ， 也 就 成 为 了 攻 击 者 手 中 的 攻 城 利 器 ， 给 企 业 网 络 造 成 威 胁 。 百 度 百 科 解 释 ： 百 度 百 科 解 释 ： W i n d o w s   P o w e r S h e l l   是 一 种 命 令 行 外 壳 程 序 和 脚 本 环 境 ， 使 命 令 行 用 户 和 脚 本 编 写 者 可 以 利 用   . N E T   F r a m e w o r k 的 强 大 功 能 。 它 引 入 了 许 多 非 常 有 用 的 新 概 念 ， 从 而 进 一 步 扩 展 了 您 在   W i n d o w s   命 令 提 示 符 和   W i n d o w s   S c r i p t   H o s t   环 境 中 获 得 的 知 识 和 创 建 的 脚 本 。 W i n d o w s   P o w e r S h e l l   v 3 将 伴 随 着 M i c r o s o f t   H y p e r - V   3 . 0 和 W i n d o w s   S e r v e r   2 0 1 2 发 布 。 P o w e r S h e l l   v 3 是 一 个 W i n d o w s 任 务 自 动 化 的 框 架 ， 它 由 一 个 命 令 行 s h e l l 和 内 置 在 这 个 . N E T 框 架 上 的 编 程 语 言 组 成 。 P o w e r S h e l l   v 3 采 用 新 的 c m d l e t 让 管 理 员 能 够 更 深 入 到 系 统 进 程 中 ， 这 些 进 程 可 以 制 作 成 可 执 行 的 文 件 或 脚 本 （ s c r i p t ） 。 一 条 c m d l e t 是 一 条 轻 量 命 令 ， W i n d o w s   P o w e r S h e l l 运 行 时 间 在 自 动 化 脚 本 的 环 境 里 调 用 它 。 C m d l e t 包 括 显 示 当 前 目 录 的 G e t - L o c a t i o n ， 访 问 文 件 内 容 的 G e t - C o n t e n t 和 结 束 运 行 进 程 的 S t o p - P r o c e s s 。 P o w e r S h e l l   v 3 在 W i n d o w s   S e r v e r   8 中 装 载 了 W i n d o w s   M a n a g e m e n t   F r a m e w o r k   3 . 0 。 P o w e r S h e l l 运 行 环 境 也 能 嵌 入 到 其 它 应 用 。 P o w e r s h e l l 版 本 特 性 版 本 特 性 P o w e r S h e l l   V 2 P o w e r S h e l l   V 2 提 供 事 件 记 录 能 力 ， 可 以 协 助 蓝 队 进 行 相 关 的 攻 击 事 件 推 断 和 关 联 性 分 析 ， 但 是 其 日 志 记 录 单 一 ， 相 关 P o s t - E x p l o i t a t i o n 可 做 到 无 痕 迹 ； 并 且 因 为 系 统 兼 容 性 ， 在 后 续 版 本 攻 击 者 都 会 尝 试 降 级 至 此 版 本 去 躲 避 日 志 记 录 。 P o w e r S h e l l   V 3 / V 4 P o w e r S h e l l   V 3 / V 4   相 比 之 前 提 供 了 更 全 面 的 日 志 记 录 功 能 。 W i n d o w s   P o w e r S h e l l   3 . 0   改 进 了 对 命 令 和 模 块 的 日 志 记 录 和 跟 踪 支 持 。 自 P o w e r S h e l l   v 3 版 本 以 后 支 持 启 用 P o w e r S h e l l 模 块 日 志 记 录 功 能 ， 并 将 此 类 日 志 归 属 到 了 4 1 0 3 事 件 。 P o w e r S h e l l 模 块 日 志 可 以 配 置 为 记 录 所 有 的 P o w e r S h e l l 模 块 的 活 动 情 况 ， 包 括 单 一 的 P o w e r S h e l l 命 令 、 导 入 的 模 块 、 远 程 管 理 等 。 可 以 通 过 G P O 进 行 启 用 模 块 日 志 记 录 。 P o w e r S h e l l   V 5 P o w e r S h e l l   V 5 加 入 了 C L M 和 S c r i p t B l o c k 日 志 记 录 功 能 ， 能 去 混 淆 P o w e r S h e l l 代 码 并 记 录 到 事 件 日 志 。 随 着 P o w e r S h e l l 攻 击 技 术 的 不 断 成 熟 ， 攻 击 者 为 了 规 避 防 护 和 日 志 记 录 进 行 了 大 量 的 代 码 混 淆 ， 在 执 行 代 码 之 前 很 难 发 现 或 确 认 这 些 代 码 实 际 上 会 做 些 什 么 事 情 ， 给 攻 击 检 测 和 取 证 造 成 了 一 定 的 困 难 ， 因 此 微 软 从 P o w e r S h e l l 5 . 0 开 始 加 入 了 日 志 转 储 、 S c r i p t B l o c k 日 志 记 录 功 能 ， 并 将 其 归 入 到 事 件 4 1 0 4 当 中 ， S c r i p t B l o c k   L o g g i n g 提 供 了 在 事 件 日 志 中 记 录 反 混 淆 的   P o w e r S h e l l   代 码 的 能 力 。
P o w e r S h e l l   V 6 P o w e r S h e l l   V 6   出 于 功 能 需 求 ， 提 供 了 更 全 面 的 系 统 覆 盖 能 力 。 由 于 P o w e r S h e l l 在 L i n u x 和 M a c O S 等 操 作 系 统 上 的 支 持 在 M a c O S 上 安 装 （ p w s h ） ， 处 于 安 全 性 考 虑 日 志 记 录 作 为 必 不 可 少 的 一 部 分 ， P o w e r S h e l l 使 用 本 机 o s _ l o g   A P I 登 录 A p p l e 的 统 一 日 志 记 录 系 统 。 在 L i n u x 上 ， P o w e r S h e l l 使 用 S y s l o g ， 微 软 将 此 上 升 成 为 一 种 几 乎 全 平 台 支 持 的 日 志 记 录 解 决 方 案 。 P o w e r S h e l l   V 7 P o w e r S h e l l   V 7 （ P S 7 ） 基 于 . N E T   C o r e   3 . 0 ， M i c r o s o f t 旨 在 提 供 与 W i n d o w s   P o w e r S h e l l 模 块 更 高 的 兼 容 性 ， 高 达 9 0 ％ 。 作 为 P o w e r S h e l l   7 的 一 部 分 ， M i c r o s o f t 在 之 前 的 日 志 记 录 基 础 上 ， 增 加 了 一 种 安 全 使 用 本 地 或 远 程 存 储 中 的 凭 据 的 方 法 ， 以 便 不 需 要 将 密 码 嵌 入 到 脚 本 中 。 还 将 改 进 日 志 记 录 ， 以 提 供 将 本 地 计 算 机 日 志 发 送 到 远 程 设 备 的 机 制 ， 而 不 管 原 始 操 作 系 统 如 何 。 P o w e r s h e l l 日 志 日 志 P o w e r s h e l l 审 核 策 略 审 核 策 略 P o w e r S h e l l 安 装 完 成 之 后 ， 日 志 记 录 默 认 是 不 开 启 的 ， 需 要 管 理 员 用 户 手 动 开 启 日 志 记 录 功 能 。 1 .   按 W i n + R 打 开 W i n d o w s 运 行 窗 口 , 在 输 入 框 里 输 入 g e p d i t . m s c , 打 开 W i n d o w s 本 地 组 策 略 编 辑 器 ; 2 .   找 到 计 算 机 配 置 / 管 理 模 板 / W i n d o w s 组 件 / W i n d o w s   P o w e r s h e l l ， 根 据 需 求 打 开 右 侧 所 需 要 的 日 志 功 能 ; P o w e r s h e l l 日 志 说 明 日 志 说 明 事 件 事 件 I D 关 联 关 联 审 计 审 计 笔 记 笔 记 4 0 0 4 0 3 始 终 记 录 ， 无 论 记 录 设 置 如 何 引 擎 状 态 从 无 更 改 为 可 用 ， 记 录 任 何 本 地 或 远 程 P o w e r S h e l l 活 动 的 开 始 ； 4 0 3 4 0 0 始 终 记 录 ， 无 论 记 录 设 置 如 何 引 擎 状 态 从 可 用 状 态 更 改 为 停 止 ， 记 录 P o w e r S h e l l 活 动 结 束 。 5 0 0 5 0 1 在 p r o f i l e . p s 1 中 需 要 $   L o g C o m m a n d L i f e C y c l e E v e n t   =   $   t r u e 命 令 “ W r i t e - H o s t ” 已 启 动 。 5 0 1 5 0 0 在 p r o f i l e . p s 1 中 需 要 $   L o g C o m m a n d L i f e C y c l e E v e n t   =   $   t r u e 命 令 “ W r i t e - H o s t ” 已 停 止 。 6 0 0 5 0 0 始 终 记 录 ， 无 论 记 录 设 置 如 何 记 录 类 似 “ W S M a n ” 等 提 供 程 序 在 系 统 上 进 行 P o w e r S h e l l 处 理 活 动 的 开 始 ， 比 如 ” P r o v i d e r   W S M a n   I s   S t a r t e d “ ； 8 0 0 5 0 0 M o d u l e L o g g i n g 命 令 行 的 管 道 执 行 细 节 ： 写 入 主 机 测 试 。 事 件 事 件 I D 关 联 关 联 审 计 审 计 笔 记 笔 记 4 1 0 0 P o w e r S h e l l 遇 到 错 误 时 记 录 4 1 0 3 M o d u l e L o g g i n g 执 行 管 道 4 1 0 4 S c r i p t B l o c k L o g g i n g 执 行 远 程 命 令   创 建 S c r i p t b l o c k 文 本 （ 1 / 1 ） ： W r i t e - H o s t   P o w e r S h e l l V 5 S c r i p t B l o c k L o g g i n g 4 0 9 6 1 始 终 记 录 ， 无 论 记 录 设 置 如 何 P o w e r S h e l l 控 制 台 正 在 启 动 4 0 9 6 2 始 终 记 录 ， 无 论 记 录 设 置 如 何 P o w e r S h e l l 控 制 台 已 准 备 好 进 行 用 户 输 入 简 单 的 简 单 的 P o w e r s h e l l 威 胁 狩 猎 威 胁 狩 猎
配 置 完 P o w e r s h e l l 审 核 策 略 后 ， 我 们 可 以 进 行 一 次 简 单 的 威 胁 狩 猎 来 验 证 一 下 ， 通 过 P o w e r s h e l l 模 拟 执 行 G e t - p r o c e s s 获 取 系 统 进 程 信 息 ， 然 后 观 察 P o w e r s h e l l 日 志 能 否 记 录 此 次 测 试 行 为 。 通 过 上 面 的 日 志 ， 我 们 可 以 看 到 P o w e r s h e l l 可 以 清 晰 的 记 录 模 拟 测 试 命 令 。 那 么 我 们 大 胆 的 推 测 一 下 ， 是 否 可 以 通 过 命 令 行 行 为 监 控 在 网 内 进 行 简 单 有 效 的 威 胁 狩 猎 。 P o w e r s h e l l 事 件 8 0 0 命 令 行 的 管 道 执 行 详 细 信 息 :   G e t - p r o c e s s 。 上 下 文 信 息 :     D e t a i l S e q u e n c e = 1   D e t a i l T o t a l = 1   S e q u e n c e N u m b e r = 2 1   U s e r I d = D E S K T O P - q i a n x i n l i y a n g   H o s t N a m e = C o n s o l e H o s t   H o s t V e r s i o n = 5 . 1 . 1 8 3 6 2 . 1 1 7 1   H o s t I d = b 4 8 a f f 5 4 - a 9 c a - 4 0 8 1 - 8 c f 8 - 4 2 7 c 6 b 4 1 4 f 3 c   H o s t A p p l i c a t i o n = C : W i n d o w s s y s t e m 3 2 W i n d o w s P o w e r S h e l l v 1 . 0 P o w e r S h e l l . e x e   E n g i n e V e r s i o n = 5 . 1 . 1 8 3 6 2 . 1 1 7 1   R u n s p a c e I d = 1 d f b 0 8 0 3 - 7 4 a 2 - 4 e d a - 8 2 3 5 - 5 5 5 e 5 f c d 4 7 4 a   P i p e l i n e I d = 6   S c r i p t N a m e =   C o m m a n d L i n e = G e t - p r o c e s s   详 细 信 息 :   C o m m a n d I n v o c a t i o n ( G e t - P r o c e s s ) : “ G e t - P r o c e s s ” 通 过 上 面 的 日 志 ， 我 们 可 以 看 到 P o w e r s h e l l 可 以 清 晰 的 记 录 模 拟 测 试 命
精 精 彩 彩 推 推 荐 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理