Series
Ermitteln mit PowerShell-Protokollen
4 posts in this series. Read them in order or jump to any one.
- PowerShell -EncodedCommand und Obfuskation dekodieren
Wie -EncodedCommand und PowerShell-Obfuskation funktionieren – base64/UTF-16LE, gzip/deflate, Zeichencodes, Verkettung, -f, Backticks – und sicher dekodieren.
- Forensik von PSReadLine ConsoleHost_history.txt
Was die PSReadLine-Verlaufsdatei aufzeichnet, wo sie liegt, warum sie keine Zeitstempel hat und wie man sie – samt ihren Grenzen – in einer Untersuchung nutzt.
- Forensik von PowerShell-Transkripten: Das Transkript lesen
Aufbau von PowerShell-Transkripten, was der Header aufzeichnet, wie Befehlszeitstempel mit -IncludeInvocationHeader funktionieren und wie man sie untersucht.
- PowerShell-Protokolle im Browser analysieren
Anleitung: PowerShell-.evtx, PSReadLine-Verlauf und Transkripte im kostenlosen Browser-Viewer öffnen, Skriptblöcke zusammensetzen, dekodieren, exportieren.