Series
Investigar con los registros de PowerShell
4 posts in this series. Read them in order or jump to any one.
- Decodificar -EncodedCommand y la ofuscación de PowerShell
-EncodedCommand y ofuscación de PowerShell: base64/UTF-16LE, gzip/deflate, códigos de carácter, concatenación, -f, comillas invertidas, y cómo decodificarlas.
- Análisis forense de ConsoleHost_history.txt de PSReadLine
Qué registra el historial de PSReadLine, dónde se encuentra, por qué no tiene marcas de tiempo y cómo usarlo (y cuáles son sus límites) en una investigación.
- Transcripción de PowerShell en el análisis forense
Estructura de las transcripciones de PowerShell, qué registra el encabezado, las marcas de tiempo con -IncludeInvocationHeader y cómo investigarlas.
- Cómo analizar los registros de PowerShell en el navegador
Paso a paso: abra .evtx de PowerShell, historial de PSReadLine y transcripciones en un visor web gratuito, reconstruya bloques de script, decodifique y exporte.