4104 · PSReadLine · field notes
Blog
Articles, guides et actualités sur l'analyse forensique PowerShell.
Pas à pas : ouvrir .evtx PowerShell, historique PSReadLine et transcriptions dans une visionneuse web gratuite, reconstituer, décoder et exporter en CSV/JSON.
Structure des transcriptions PowerShell, contenu de l'en-tête, horodatage des commandes avec -IncludeInvocationHeader, et comment les investiguer.
Ce qu'enregistre l'historique PSReadLine, où il se trouve, pourquoi il n'a pas d'horodatage, et comment l'utiliser — et ses limites — en investigation.
-EncodedCommand et obfuscation PowerShell : base64/UTF-16LE, gzip/deflate, codes de caractères, concaténation, -f, accents graves, et comment les décoder.
Acquérir journaux PowerShell, historique PSReadLine et transcriptions sur un hôte actif, une collecte de triage ou une image disque : commandes et pièges.
Les ID d'événements PowerShell clés des journaux Operational et Windows PowerShell classique (4104, 4103, 400, 403, 600, 800), et ce que prouve chacun.
Ce qu'enregistre l'événement 4104, le découpage des blocs longs, pourquoi des blocs Avertissement apparaissent sans journalisation complète, comment les lire.