Artículos etiquetados: #powershell

Paso a paso: abra .evtx de PowerShell, historial de PSReadLine y transcripciones en un visor web gratuito, reconstruya bloques de script, decodifique y exporte.

Estructura de las transcripciones de PowerShell, qué registra el encabezado, las marcas de tiempo con -IncludeInvocationHeader y cómo investigarlas.

Qué registra el historial de PSReadLine, dónde se encuentra, por qué no tiene marcas de tiempo y cómo usarlo (y cuáles son sus límites) en una investigación.

-EncodedCommand y ofuscación de PowerShell: base64/UTF-16LE, gzip/deflate, códigos de carácter, concatenación, -f, comillas invertidas, y cómo decodificarlas.

Obtenga los registros de eventos de PowerShell, el historial de PSReadLine y las transcripciones de un host en vivo, triaje o imagen de disco, con comandos.

Los event ID forenses de PowerShell en los registros Operational y clásico Windows PowerShell (4104, 4103, 400, 403, 600, 800) y lo que demuestra cada uno.

Qué registra el event ID 4104, cómo Windows divide los bloques largos, por qué aparecen bloques Warning sin registro completo y cómo interpretarlo en un caso.