Series
Enquêter avec les journaux PowerShell
4 posts in this series. Read them in order or jump to any one.
- Décoder -EncodedCommand et l'obfuscation PowerShell
-EncodedCommand et obfuscation PowerShell : base64/UTF-16LE, gzip/deflate, codes de caractères, concaténation, -f, accents graves, et comment les décoder.
- Analyse forensique de PSReadLine ConsoleHost_history.txt
Ce qu'enregistre l'historique PSReadLine, où il se trouve, pourquoi il n'a pas d'horodatage, et comment l'utiliser — et ses limites — en investigation.
- Analyse forensique de la transcription PowerShell
Structure des transcriptions PowerShell, contenu de l'en-tête, horodatage des commandes avec -IncludeInvocationHeader, et comment les investiguer.
- Analyser les journaux PowerShell dans votre navigateur
Pas à pas : ouvrir .evtx PowerShell, historique PSReadLine et transcriptions dans une visionneuse web gratuite, reconstituer, décoder et exporter en CSV/JSON.