对事件响应和实时取证的PowerShell脚本

admin 2022年4月21日12:37:06应急响应评论5 views1856字阅读6分11秒阅读模式

用于帮助实时取证和事件响应的 POWERSHELL 脚本

___________ .__ __                 _    _____/__________ ____ ____ _____ | __ | ____ _____ _/   | _ ___________   |     __)/ _ _   __ _ / __  /      / ___/   | / ___ \ __   \    __ /   _ _   __   |      (   < _ > )   |  / ___/ |    |   \ ___ |     ___ / __ |   | (   < _ > )   |  /  _ __ / _ ___/ | __ |     _ __   > ___ |   /____   > __ | _ __   > ____ /__ |   _ ___/ | __ |         /                     /      /      /         /      /                    
v1.2

Live-Forensicator是一款功能强大的PowerShell脚本,该脚本同时也是Black Widow工具箱中的一个组件,该工具的主要目的是为了在信息安全取证调查和安全事件应急响应过程中,给广大研究人员提供一定的帮助,比如说快速实现实时数据取证等。



该工具可以通过收集不同的系统信息以进一步审查异常行为或意外的数据输入,除此之外,该工具还能够查找异常文件或活动,并向安全分析人员提供分析数据


可选依赖项

此脚本是用 powershell 编写的,用于 Windows PC 和服务器。

对于附加功能,它取决于外部二进制文件。

它有一个支持文件 WINPMEM 用于进行 RAM 转储https://github.com/Velocidex/WinPmem

它还依赖于 Nirsoft 的 BrowserHistoryView 来导出浏览器历史http://www.nirsoft.net/utils/browsing_history_view.html

该脚本有望开箱即用。

winpmem_mini_x64_rc2.exe | BrowsingHistoryView64.exe | BrowsingHistoryView86.exe | etl2pcapng64.exe | etl2pcapng86.exe

用法

# 复制文件到电脑git  clone  https : // github . com / Johnng007 / Live - Forensicator。混帐
# 执行.F orensicator . ps1 <参数>

例子

# 基本用法.F orensicator . ps1
# 检查版本.F orensicator . ps1 -版本
# 检查更新.F orensicator . ps1 -更新
# 在基本用法旁边提取事件日志.F orensicator . ps1 - EVTX EVTX
#Grab 网络日志 IIS 和 Apache .F orensicator。ps1 -博客 _
#Run 网络跟踪和捕获 PCAPNG .F orensicator。ps1 - PCAP PCAP
# 在基本用法旁边提取 RAM 转储.F orensicator。ps1 - RAM 内存

# 使用 JNDILookup.class .F orensicator检查 log4j。ps1 - log4j log4j
# 是的,当然你可以做所有的事情.F orensicator . ps1 - EVTX EVTX - RAM RAM - log4j log4j
# 用于基本用法的无人值守模式.F orensicator . ps1 -操作 员“Ebuka John” -案例 01123 -标题 “受勒索软件感染的笔记本电脑” -位置 尼日利亚 -设备 AZUZ
# 您可以对其他每个参数使用无人值守模式.F orensicator . ps1 -操作 员“Ebuka John” -案例 01123 -标题 “受勒索软件感染的笔记本电脑” -位置 尼日利亚 -设备 AZUZ - EVTX EVTX - RAM RAM - log4j log4j
# 检查与勒索软件加密文件具有相似扩展名的文件(可能需要一些时间才能完成) .F orensicator . ps1 -勒索 软件勒索软件
# 您可以在执行 Oneliner .F orensicator后立即压缩 Forensicator 输出。ps1 ; 开始-睡眠 -s 15;_ 压缩-存档-路径"$env:computername" - DestinationPath "C:inetpubwwwroot$env:computername.zip" -强制


注意事项


1、该工具需要以管理员权限执行;

2、输出结果将以HTML文件显示;

3、我们可以在脚本的工作目录中找到所有提取的文件数据;

4、跟勒索软件识别相关的功能可以使用“-RANSOMEWARE”参数调用;


项目地址


Live-Forensicator:https://github.com/Johnng007/Live-Forensicator

学习更多渗透技能!供靶场练习技能


对事件响应和实时取证的PowerShell脚本

扫码领黑客视频资料及工具

对事件响应和实时取证的PowerShell脚本

原文始发于微信公众号(渗透师老A):对事件响应和实时取证的PowerShell脚本

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年4月21日12:37:06
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  对事件响应和实时取证的PowerShell脚本 http://cn-sec.com/archives/931647.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: