Blog

Anleitung: PowerShell-.evtx, PSReadLine-Verlauf und Transkripte im kostenlosen Browser-Viewer öffnen, Skriptblöcke zusammensetzen, dekodieren, exportieren.

Aufbau von PowerShell-Transkripten, was der Header aufzeichnet, wie Befehlszeitstempel mit -IncludeInvocationHeader funktionieren und wie man sie untersucht.

Was die PSReadLine-Verlaufsdatei aufzeichnet, wo sie liegt, warum sie keine Zeitstempel hat und wie man sie – samt ihren Grenzen – in einer Untersuchung nutzt.

Wie -EncodedCommand und PowerShell-Obfuskation funktionieren – base64/UTF-16LE, gzip/deflate, Zeichencodes, Verkettung, -f, Backticks – und sicher dekodieren.

PowerShell-Ereignisprotokolle, PSReadLine-Verlauf und Transkripte von Live-System, Triage-Sammlung oder Abbild sichern: kopierfertige Befehle und Fallstricke.

Forensisch relevante PowerShell-Ereignis-IDs im Operational- und klassischen Windows-PowerShell-Protokoll (4104, 4103, 400, 403, 600, 800) und was sie belegen.

Was Ereignis-ID 4104 aufzeichnet, wie Windows lange Skriptblöcke aufteilt, warum Warnstufen-Blöcke ohne volle Protokollierung erscheinen, wie man sie auswertet.