成人免费xxxxx在线视频软件_久久精品久久久_亚洲国产精品久久久_天天色天天色_亚洲人成一区_欧美一级欧美三级在线观看

惡意程序分析利器PowerShellArsenal

作者：zusheng
安全 數據安全
PowerShellArsenal是一個PowerShell模塊，它的功能是幫助逆向工程師來分析.NET惡意軟件，PowerShellArsenal的功能非常強大，它可以反匯編.NET惡意軟件、分析和抓取內存、解析文件格式和內存結構，獲取內部系統信息等。

簡介

PowerShellArsenal是一個PowerShell模塊，它的功能是幫助逆向工程師來分析.NET惡意軟件，PowerShellArsenal的功能非常強大，它可以反匯編.NET惡意軟件、分析和抓取內存、解析文件格式和內存結構，獲取內部系統信息等。

程序

1.Disassembly

反匯編代碼

（1）Get-CSDisassembly

使用Capstone Engine反匯編引擎反匯編代碼

使用方法：

 

  1. Get-CSDisassembly -Architecture {Arm | Arm64 | Mips | X86 | PPC | CS_ARCH_ALL} -Mode {LittleEndian | Arm | Mode16 | 
  2.  Mode32 | Mode64 | Thumb | Micro | N64 | BigEndian} -Code <Byte[]> [-Offset <UInt64>] [-Count <UInt32>] [-Syntax <S 
  3. tring>] [-DetailOn] [<CommonParameters>] 

（2）Get-ILDisassembly

MSIL(Microsoft Intermediate Language (MSIL)微軟中間語言。)反匯編器。

使用方法：

  1. Get-ILDisassembly -AssemblyPath <String> -MetadataToken <Int32> [<CommonParameters>] 
  2.  
  3. Get-ILDisassembly -MethodInfo <MethodBase> [<CommonParameters>] 
  4.  
  5. Get-ILDisassembly -MethodDef <MethodDef> [<CommonParameters>] 

2.MalwareAnalysis

分析惡意軟件時需要用到的工具。

（1）New-FunctionDelegate

提供了一個X86或x86_64功能的可執行包裝。

使用方法：

  1. New-FunctionDelegate [[-Parameters] <Type[]>] [[-ReturnType] <Type>] [-FunctionBytes] <Byte[]> [[-CallingConvention 
  2. ] {Winapi | Cdecl | StdCall | ThisCall | FastCall}] [-DebugBreak] [<CommonParameters>] 

（2）Invoke-LoadLibrary

主要調用kernel32!LoadLibrary用于惡意軟件分析，將DLL加載到當前的PowerShell進程中。

使用方法：

  1. Invoke-LoadLibrary [-FileName] <String> [<CommonParameters>] 

（3）New-DllExportFunction

New-DllExportFunction接受一個模塊，然后導出procedure name，返回類型、參數類型。***創建一個托管的委托，可用于執行非托管函數。

使用方法：

  1. New-DllExportFunction [-Module] <ProcessModule> [-ProcedureName] <String> [[-Parameters] <Type[]>] [[-ReturnType] < 
  2. Type>] [<CommonParameters>] 

（4）Get-HostsFile

解析HOSTS文件

使用方法：

  1. Get-HostsFile [[-Path] <String>] [-Show] [<CommonParameters>] 

（5）New-HostsFileEntry

替換或添加內容到HOSTS文件

使用方法：

  1. New-HostsFileEntry [-IPAddress] <IPAddress> [-Hostname] <String> [[-Comment] <String>] [-Path <String>] [-PassThru] 
  2.  [-Show] [<CommonParameters>] 

（6）Remove-HostsFileEntry

從HOSTS文件中刪除內容

使用方法：

  1. Remove-HostsFileEntry -IPAddress <IPAddress> [-Path <String>] [-PassThru] [-Show] [<CommonParameters>] 
  2.  
  3. Remove-HostsFileEntry -Hostname <String> [-Path <String>] [-PassThru] [-Show] [<CommonParameters>] 
  4.  
  5. Remove-HostsFileEntry [-Path <String>] [-PassThru] [-Show] [-HostsEntry <PSObject[]>] [<CommonParameters>] 

（7）Get-AssemblyStrings

輸出.NET可執行文件所有定義的字符串

使用方法：

  1. Get-AssemblyStrings -AssemblyPath <String> [-HeapType <String>] [-Raw] [<CommonParameters>] 
  2.  
  3. Get-AssemblyStrings -AssemblyBytes <Byte[]> [-HeapType <String>] [-Raw] [<CommonParameters>] 
  4.  
  5. Get-AssemblyStrings -AssemblyInfo <Assembly> [-HeapType <String>] [-Raw] [<CommonParameters>] 

（8）Get-AssemblyResources

提取程序中的資源

  1. Get-AssemblyResources -AssemblyPath <String> [<CommonParameters>] 
  2.  
  3. Get-AssemblyResources -AssemblyBytes <Byte[]> [<CommonParameters>] 
  4.  
  5. Get-AssemblyResources -AssemblyInfo <Assembly> [<CommonParameters>] 

（9）Remove-AssemblySuppressIldasmAttribute

從.NET程序集中刪除SuppressIldasmAttribute屬性。

使用方法：

  1. Remove-AssemblySuppressIldasmAttribute -AssemblyPath <String> -FilePath <String> [<CommonParameters>] 
  2.  
  3. Remove-AssemblySuppressIldasmAttribute -AssemblyBytes <Byte[]> -FilePath <String> [<CommonParameters>] 
  4.  
  5. Remove-AssemblySuppressIldasmAttribute -AssemblyInfo <Assembly> -FilePath <String> [<CommonParameters>] 

（10）Get-AssemblyImplementedMethods

返回程序的所有方法。

使用方法：

  1. Get-AssemblyImplementedMethods -AssemblyPath <String> [<CommonParameters>] 
  2.  
  3. Get-AssemblyImplementedMethods -AssemblyBytes <Byte[]> [<CommonParameters>] 
  4.  
  5. Get-AssemblyImplementedMethods -AssemblyInfo <Assembly> [<CommonParameters>] 

3.MemoryTools

檢查和分析進程內存

（1）Get-ProcessStrings

輸出一個進程的用戶模式內存中所以可打印的字符串

使用方法：

  1. Get-ProcessStrings [-ProcessID] <Int32> [-MinimumLength <UInt16>] [-Encoding <String>] [-IncludeImages] [<CommonPar 
  2. ameters>] 

（2）Get-VirtualMemoryInfo

調用的kernel32!VirtualQueryEx

使用方法：

  1. Get-VirtualMemoryInfo [-ProcessID] <Int32> [-ModuleBaseAddress] <IntPtr> [-PageSize <Int32>] [<CommonParameters>] 

（3）Get-ProcessMemoryInfo

類似于!vadump WinDbg命令

使用方法：

  1. Get-ProcessMemoryInfo [-ProcessID] <Int32> [<CommonParameters>] 

（4）Get-StructFromMemory

將數據從任意進程中的非托管內存塊調度到新分配的指定類型的托管對象。

  1. Get-StructFromMemory [-Id] <UInt16> [-MemoryAddress] <IntPtr> [-StructType] <Type> [<CommonParameters>] 

4.Parsers

解析文件格式和內存結構

（1）Get-PE

分析內存和磁盤上文件的PE頭

使用方法： 

  1. Get-PE [-ProcessID] <Int32> [[-ModuleBaseAddress] <IntPtr>] [[-Module] <ProcessModule[]>] [-DumpDirectory <String>] 
  2.  [-IgnoreMalformedPE] [<CommonParameters>] 
  3.  
  4. Get-PE [-FileBytes] <Byte[]> [-IgnoreMalformedPE] [<CommonParameters>] 

（2）Find-ProcessPEs

在內存中查找可移植的可執行文件，而不管它們是否以合法方式加載

使用方法：

  1. Find-ProcessPEs [-ProcessID] <Int32> [<CommonParameters>] 

（3）Get-LibSymbols

顯示來自Windows LIB文件的符號信息。

使用方法：

  1. Get-LibSymbols [-Path] <String[]> [<CommonParameters>] 

（4）Get-ObjDump

顯示有關Windows對象(OBJ)文件的信息。

使用方法：

  1. Get-ObjDump [-Path] <String[]> [<CommonParameters>] 

5.WindowsInternals

獲取并分析低級別的Windows操作系統的信息。

（1）Get-NtSystemInformation

一個實用的程序，調用ntdll!NtQuerySystemInformation函數，可用于查詢通常對用戶不可見的內部操作系統信息。

使用方法：

  1. Get-NtSystemInformation [-PoolTagInformation] [<CommonParameters>] 
  2.  
  3. Get-NtSystemInformation [-ModuleInformation] [<CommonParameters>] 
  4.  
  5. Get-NtSystemInformation [-HandleInformation] [-ObjectType <String>] [<CommonParameters>] 
  6.  
  7. Get-NtSystemInformation [-ObjectInformation] [<CommonParameters>] 
  8.  
  9. Get-NtSystemInformation [-LockInformation] [<CommonParameters>] 
  10.  
  11. Get-NtSystemInformation [-CodeIntegrityInformation] [<CommonParameters>] 
  12.  
  13. Get-NtSystemInformation [-GlobalFlags] [<CommonParameters>] 

（2）Get-PEB

返回一個進程的進程環境塊(PEB)。

使用方法：

  1. Get-PEB [-Id] <UInt16[]> [<CommonParameters>] 

（3）Register-ProcessModuleTrace

跟蹤加載進程的模塊

使用方法：

  1. Register-ProcessModuleTrace [<CommonParameters>] 

（4）Get-ProcessModuleTrace

顯示已加載自調用Register-ProcessModuleTrace流程模塊

使用方法:

  1. Get-ProcessModuleTrace [<CommonParameters>] 

（5）Unregister-ProcessModuleTrace

停止正在運行的進程模塊跟蹤

使用方法：

  1. Unregister-ProcessModuleTrace [<CommonParameters>] 

（6）Get-SystemInfo

調用kernel32!GetSystemInfo來獲取系統的一些信息。

使用方法：

  1. Get-SystemInfo [<CommonParameters>] 

6.Misc

其他的輔助功能

（1）Get-Member

用于擴展內置Get-Member cmdlet的代理函數

使用方法：

  1. Get-Member [-InputObject <PSObject>] [[-Name] <String[]>] [-MemberType {AliasProperty | CodeProperty | Property | 
  2. NoteProperty | ScriptProperty | Properties | PropertySet | Method | CodeMethod | ScriptMethod | Methods | Parameter 
  3. izedProperty | MemberSet | Event | Dynamic | All}] [-View {Extended | Adapted | Base | All}] [-Static] [-Force] [<C 
  4. ommonParameters>] 
  5.  
  6. Get-Member [-InputObject <PSObject>] [[-Name] <String[]>] [-PrivateMemberType {Constructor | Event | Field | Metho 
  7. d | Property | TypeInfo | Custom | NestedType | All}] [-Static] [-Force] [-Private] [<CommonParameters>] 

（2）Get-Strings

Get-Strings cmdlet從文件返回字符串(Unicode和/或Ascii)。 此cmdlet對轉儲字符串很有用。

使用方法：

  1. Get-Strings [-Path] <String[]> [-Encoding <String>] [-MinimumLength <UInt32>] [<CommonParameters>] 

（3）ConvertTo-String

ConvertTo-String執行二進制正則表達式非常有用。

使用方法：

  1. ConvertTo-String [-Path] <String> [<CommonParameters>] 

（4）Get-Entropy

計算文件或字節數組的熵。

使用方法：

  1. Get-Entropy [-ByteArray] <Byte[]> [<CommonParameters>] 
  2.  
  3. Get-Entropy [-FilePath] <FileInfo> [<CommonParameters>] 

項目地址：https://github.com/mattifestation/PowerShellArsenal

責任編輯：趙寧寧 來源： FreeBuf
惡意程序PowerShellArsenal程序
相關推薦

2021-04-28 09:35:16

惡意程序惡意代碼、攻擊

2012-06-04 09:16:39

2015-01-06 11:37:58

惡意程序查殺Rootkit Hun

2011-08-11 11:26:11

2013-03-07 09:26:47

2012-10-24 17:21:46

2011-03-30 09:20:08

2017-02-23 10:30:49

2012-07-25 09:25:38

惡意程序蠕蟲病毒

2013-11-08 10:42:09

代碼工具

2021-01-15 10:10:24

惡意程序包程序包惡意代碼

2009-05-09 18:22:33

2010-04-07 15:53:46

2013-11-05 15:06:29

scdbg惡意代碼分析安全工具

2013-11-01 11:00:10

2017-06-09 14:07:41

2015-09-15 13:49:41

2014-03-06 17:24:30

2013-10-25 13:49:27

2021-07-03 09:26:49

黑客微軟惡意程序
點贊
收藏

51CTO技術棧公眾號

主站蜘蛛池模板： 成人在线视频观看 | 天天操天天摸天天爽 | 99久久婷婷国产综合精品电影 | 黄色免费网 | 日日操操 | 一区二区三区国产 | 国产精品免费高清 | 日韩欧美一级精品久久 | 欧美黄 片免费观看 | 欧美精品一区二区三区四区五区 | 国产成人精品一区二区 | 亚洲激情av | 久久综合久久久 | 精品美女 | 国产精品久久久久久亚洲调教 | 日韩欧美一区二区三区免费观看 | 亚洲免费成人 | 亚洲精品女人久久久 | 久久精品国产免费高清 | 久久久精品综合 | 天天做日日做 | 国产精品久久久久久久粉嫩 | 精品久久香蕉国产线看观看亚洲 | 亚洲精品日本 | 亚洲成人毛片 | 亚洲精品国产成人 | av一级久久 | 国产精品成人一区二区三区 | 久久伊人免费视频 | 国产一区二区电影 | 欧美精品福利视频 | 成人做爰www免费看 午夜精品久久久久久久久久久久 | 操皮视频| 亚洲码欧美码一区二区三区 | 日韩精品中文字幕在线 | 欧美日韩一区二区三区视频 | 亚洲精品一区二区在线观看 | 在线视频国产一区 | 日韩视频在线一区 | 国产一区三区在线 | 99精品国产一区二区青青牛奶 |