日本综合一区二区|亚洲中文天堂综合|日韩欧美自拍一区|男女精品天堂一区|欧美自拍第6页亚洲成人精品一区|亚洲黄色天堂一区二区成人|超碰91偷拍第一页|日韩av夜夜嗨中文字幕|久久蜜综合视频官网|精美人妻一区二区三区

RELATEED CONSULTING
相關(guān)咨詢
選擇下列產(chǎn)品馬上在線溝通
服務(wù)時(shí)間：8:30-17:00
你可能遇到了下面的問題
關(guān)閉右側(cè)工具欄

新聞中心

這里有您想知道的互聯(lián)網(wǎng)營(yíng)銷解決方案
惡意程序分析利器PowerShellArsenal

簡(jiǎn)介

成都創(chuàng)新互聯(lián)始終堅(jiān)持【策劃先行，效果至上】的經(jīng)營(yíng)理念，通過多達(dá)10年累計(jì)超上千家客戶的網(wǎng)站建設(shè)總結(jié)了一套系統(tǒng)有效的全網(wǎng)營(yíng)銷解決方案，現(xiàn)已廣泛運(yùn)用于各行各業(yè)的客戶，其中包括：成都樓梯護(hù)欄等企業(yè)，備受客戶贊揚(yáng)。

PowerShellArsenal是一個(gè)PowerShell模塊，它的功能是幫助逆向工程師來分析.NET惡意軟件，PowerShellArsenal的功能非常強(qiáng)大，它可以反匯編.NET惡意軟件、分析和抓取內(nèi)存、解析文件格式和內(nèi)存結(jié)構(gòu)，獲取內(nèi)部系統(tǒng)信息等。

1.Disassembly

反匯編代碼

（1）Get-CSDisassembly

使用Capstone Engine反匯編引擎反匯編代碼

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-CSDisassembly -Architecture {Arm | Arm64 | Mips | X86 | PPC | CS_ARCH_ALL} -Mode {LittleEndian | Arm | Mode16 | 
    2.   
  
  
  
  2.  Mode32 | Mode64 | Thumb | Micro | N64 | BigEndian} -Code  [-Offset ] [-Count ] [-Syntax   
  
  
  
  3. tring>] [-DetailOn] [] 
    4.

（2）Get-ILDisassembly

MSIL(Microsoft Intermediate Language (MSIL)微軟中間語言。)反匯編器。

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-ILDisassembly -AssemblyPath  -MetadataToken  [] 
    2.   
  
  
  
  2.  
    3.   
  
  
  
  3. Get-ILDisassembly -MethodInfo  [] 
    4.   
  
  
  
  4.  
    5.   
  
  
  
  5. Get-ILDisassembly -MethodDef  [] 
    6.

2.MalwareAnalysis

分析惡意軟件時(shí)需要用到的工具。

（1）New-FunctionDelegate

提供了一個(gè)X86或x86_64功能的可執(zhí)行包裝。

使用方法：

 
 
 
 
    
  
  
  
  
  1. New-FunctionDelegate [[-Parameters] ] [[-ReturnType] ] [-FunctionBytes]  [[-CallingConvention 
    2.   
  
  
  
  2. ] {Winapi | Cdecl | StdCall | ThisCall | FastCall}] [-DebugBreak] [] 
    3.

（2）Invoke-LoadLibrary

主要調(diào)用kernel32!LoadLibrary用于惡意軟件分析，將DLL加載到當(dāng)前的PowerShell進(jìn)程中。

使用方法：

 
 
 
 
    
  
  
  
  
  1. Invoke-LoadLibrary [-FileName]  [] 
    2.

（3）New-DllExportFunction

New-DllExportFunction接受一個(gè)模塊，然后導(dǎo)出procedure name，返回類型、參數(shù)類型。***創(chuàng)建一個(gè)托管的委托，可用于執(zhí)行非托管函數(shù)。

使用方法：

 
 
 
 
    
  
  
  
  
  1. New-DllExportFunction [-Module]  [-ProcedureName]  [[-Parameters] ] [[-ReturnType] < 
    2.   
  
  
  
  2. Type>] [] 
    3.

（4）Get-HostsFile

解析HOSTS文件

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-HostsFile [[-Path] ] [-Show] [] 
    2.

（5）New-HostsFileEntry

替換或添加內(nèi)容到HOSTS文件

使用方法：

 
 
 
 
    
  
  
  
  
  1. New-HostsFileEntry [-IPAddress]  [-Hostname]  [[-Comment] ] [-Path ] [-PassThru] 
    2.   
  
  
  
  2.  [-Show] [] 
    3.

（6）Remove-HostsFileEntry

從HOSTS文件中刪除內(nèi)容

使用方法：

 
 
 
 
    
  
  
  
  
  1. Remove-HostsFileEntry -IPAddress  [-Path ] [-PassThru] [-Show] [] 
    2.   
  
  
  
  2.  
    3.   
  
  
  
  3. Remove-HostsFileEntry -Hostname  [-Path ] [-PassThru] [-Show] [] 
    4.   
  
  
  
  4.  
    5.   
  
  
  
  5. Remove-HostsFileEntry [-Path ] [-PassThru] [-Show] [-HostsEntry ] [] 
    6.

（7）Get-AssemblyStrings

輸出.NET可執(zhí)行文件所有定義的字符串

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-AssemblyStrings -AssemblyPath  [-HeapType ] [-Raw] [] 
    2.   
  
  
  
  2.  
    3.   
  
  
  
  3. Get-AssemblyStrings -AssemblyBytes  [-HeapType ] [-Raw] [] 
    4.   
  
  
  
  4.  
    5.   
  
  
  
  5. Get-AssemblyStrings -AssemblyInfo  [-HeapType ] [-Raw] [] 
    6.

（8）Get-AssemblyResources

提取程序中的資源

 
 
 
 
    
  
  
  
  
  1. Get-AssemblyResources -AssemblyPath  [] 
    2.   
  
  
  
  2.  
    3.   
  
  
  
  3. Get-AssemblyResources -AssemblyBytes  [] 
    4.   
  
  
  
  4.  
    5.   
  
  
  
  5. Get-AssemblyResources -AssemblyInfo  [] 
    6.

（9）Remove-AssemblySuppressIldasmAttribute

從.NET程序集中刪除SuppressIldasmAttribute屬性。

使用方法：

 
 
 
 
    
  
  
  
  
  1. Remove-AssemblySuppressIldasmAttribute -AssemblyPath  -FilePath  [] 
    2.   
  
  
  
  2.  
    3.   
  
  
  
  3. Remove-AssemblySuppressIldasmAttribute -AssemblyBytes  -FilePath  [] 
    4.   
  
  
  
  4.  
    5.   
  
  
  
  5. Remove-AssemblySuppressIldasmAttribute -AssemblyInfo  -FilePath  [] 
    6.

（10）Get-AssemblyImplementedMethods

返回程序的所有方法。

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-AssemblyImplementedMethods -AssemblyPath  [] 
    2.   
  
  
  
  2.  
    3.   
  
  
  
  3. Get-AssemblyImplementedMethods -AssemblyBytes  [] 
    4.   
  
  
  
  4.  
    5.   
  
  
  
  5. Get-AssemblyImplementedMethods -AssemblyInfo  [] 
    6.

3.MemoryTools

檢查和分析進(jìn)程內(nèi)存

（1）Get-ProcessStrings

輸出一個(gè)進(jìn)程的用戶模式內(nèi)存中所以可打印的字符串

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-ProcessStrings [-ProcessID]  [-MinimumLength ] [-Encoding ] [-IncludeImages] [  
  
  
  
  2. ameters>] 
    3.

（2）Get-VirtualMemoryInfo

調(diào)用的kernel32!VirtualQueryEx

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-VirtualMemoryInfo [-ProcessID]  [-ModuleBaseAddress]  [-PageSize ] [] 
    2.

（3）Get-ProcessMemoryInfo

類似于!vadump WinDbg命令

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-ProcessMemoryInfo [-ProcessID]  [] 
    2.

（4）Get-StructFromMemory

將數(shù)據(jù)從任意進(jìn)程中的非托管內(nèi)存塊調(diào)度到新分配的指定類型的托管對(duì)象。

 
 
 
 
    
  
  
  
  
  1. Get-StructFromMemory [-Id]  [-MemoryAddress]  [-StructType]  [] 
    2.

4.Parsers

解析文件格式和內(nèi)存結(jié)構(gòu)

（1）Get-PE

分析內(nèi)存和磁盤上文件的PE頭

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-PE [-ProcessID]  [[-ModuleBaseAddress] ] [[-Module] ] [-DumpDirectory ] 
    2.   
  
  
  
  2.  [-IgnoreMalformedPE] [] 
    3.   
  
  
  
  3.  
    4.   
  
  
  
  4. Get-PE [-FileBytes]  [-IgnoreMalformedPE] [] 
    5.

（2）Find-ProcessPEs

在內(nèi)存中查找可移植的可執(zhí)行文件，而不管它們是否以合法方式加載

使用方法：

 
 
 
 
    
  
  
  
  
  1. Find-ProcessPEs [-ProcessID]  [] 
    2.

（3）Get-LibSymbols

顯示來自Windows LIB文件的符號(hào)信息。

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-LibSymbols [-Path]  [] 
    2.

（4）Get-ObjDump

顯示有關(guān)Windows對(duì)象(OBJ)文件的信息。

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-ObjDump [-Path]  [] 
    2.

5.WindowsInternals

獲取并分析低級(jí)別的Windows操作系統(tǒng)的信息。

（1）Get-NtSystemInformation

一個(gè)實(shí)用的程序，調(diào)用ntdll!NtQuerySystemInformation函數(shù)，可用于查詢通常對(duì)用戶不可見的內(nèi)部操作系統(tǒng)信息。

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-NtSystemInformation [-PoolTagInformation] [] 
    2.   
  
  
  
  2.  
    3.   
  
  
  
  3. Get-NtSystemInformation [-ModuleInformation] [] 
    4.   
  
  
  
  4.  
    5.   
  
  
  
  5. Get-NtSystemInformation [-HandleInformation] [-ObjectType ] [] 
    6.   
  
  
  
  6.  
    7.   
  
  
  
  7. Get-NtSystemInformation [-ObjectInformation] [] 
    8.   
  
  
  
  8.  
    9.   
  
  
  
  9. Get-NtSystemInformation [-LockInformation] [] 
    10.   
  
  
  
  10.  
    11.   
  
  
  
  11. Get-NtSystemInformation [-CodeIntegrityInformation] [] 
    12.   
  
  
  
  12.  
    13.   
  
  
  
  13. Get-NtSystemInformation [-GlobalFlags] [] 
    14.

（2）Get-PEB

返回一個(gè)進(jìn)程的進(jìn)程環(huán)境塊(PEB)。

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-PEB [-Id]  [] 
    2.

（3）Register-ProcessModuleTrace

跟蹤加載進(jìn)程的模塊

使用方法：

 
 
 
 
    
  
  
  
  
  1. Register-ProcessModuleTrace [] 
    2.

（4）Get-ProcessModuleTrace

顯示已加載自調(diào)用Register-ProcessModuleTrace流程模塊

使用方法:

 
 
 
 
    
  
  
  
  
  1. Get-ProcessModuleTrace [] 
    2.

（5）Unregister-ProcessModuleTrace

停止正在運(yùn)行的進(jìn)程模塊跟蹤

使用方法：

 
 
 
 
    
  
  
  
  
  1. Unregister-ProcessModuleTrace [] 
    2.

（6）Get-SystemInfo

調(diào)用kernel32!GetSystemInfo來獲取系統(tǒng)的一些信息。

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-SystemInfo [] 
    2.

6.Misc

其他的輔助功能

（1）Get-Member

用于擴(kuò)展內(nèi)置Get-Member cmdlet的代理函數(shù)

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-Member [-InputObject ] [[-Name] ] [-MemberType {AliasProperty | CodeProperty | Property | 
    2.   
  
  
  
  2. NoteProperty | ScriptProperty | Properties | PropertySet | Method | CodeMethod | ScriptMethod | Methods | Parameter 
    3.   
  
  
  
  3. izedProperty | MemberSet | Event | Dynamic | All}] [-View {Extended | Adapted | Base | All}] [-Static] [-Force] [  
  
  
  
  4. ommonParameters>] 
    5.   
  
  
  
  5.  
    6.   
  
  
  
  6. Get-Member [-InputObject ] [[-Name] ] [-PrivateMemberType {Constructor | Event | Field | Metho 
    7.   
  
  
  
  7. d | Property | TypeInfo | Custom | NestedType | All}] [-Static] [-Force] [-Private] [] 
    8.

（2）Get-Strings

Get-Strings cmdlet從文件返回字符串(Unicode和/或Ascii)。 此cmdlet對(duì)轉(zhuǎn)儲(chǔ)字符串很有用。

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-Strings [-Path]  [-Encoding ] [-MinimumLength ] [] 
    2.

（3）ConvertTo-String

ConvertTo-String執(zhí)行二進(jìn)制正則表達(dá)式非常有用。

使用方法：

 
 
 
 
    
  
  
  
  
  1. ConvertTo-String [-Path]  [] 
    2.

（4）Get-Entropy

計(jì)算文件或字節(jié)數(shù)組的熵。

使用方法：

 
 
 
 
    
  
  
  
  
  1. Get-Entropy [-ByteArray]  [] 
    2.   
  
  
  
  2.  
    3.   
  
  
  
  3. Get-Entropy [-FilePath]  [] 
    4.

項(xiàng)目地址：https://github.com/mattifestation/PowerShellArsenal


文章標(biāo)題：惡意程序分析利器PowerShellArsenal
鏈接地址：http://www.dlmjj.cn/article/ccocepi.html