બનાવની માહિતી ભેગી કરવા માટે પાવરશેલનો ઉપયોગ કરવો

પાવરશેલ એ એકદમ સામાન્ય ઓટોમેશન ટૂલ છે જેનો ઉપયોગ માલવેર ડેવલપર્સ અને માહિતી સુરક્ષા નિષ્ણાતો બંને દ્વારા થાય છે.
આ લેખ માહિતી સુરક્ષા ઘટનાઓનો જવાબ આપતી વખતે અંતિમ ઉપકરણોમાંથી ડેટાના દૂરસ્થ સંગ્રહ માટે પાવરશેલના ઉપયોગ પર વિચાર કરશે. આ કરવા માટે, તમારે એક સ્ક્રિપ્ટ લખવાની જરૂર છે જે અંતિમ ઉપકરણ પર ચાલશે, અને પછી આ સ્ક્રિપ્ટનું વિગતવાર વર્ણન હશે.

function CSIRT{
param($path)
if ($psversiontable.psversion.major -ge 5)
	{
	$date = Get-Date -Format dd.MM.yyyy_hh_mm
	$Computer = $env:COMPUTERNAME
	New-Item -Path $path$computer$date -ItemType 'Directory' -Force | Out-Null
	$path = "$path$computer$date"

	$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname,
	processid, commandline, parentprocessid

	$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state
	
	$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state

	$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname|
	where author -notlike '*Майкрософт*' | where author -ne $null |
	where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*'

	$job = Get-ScheduledJob

	$ADS =  get-item * -stream * | where stream -ne ':$Data'

	$user = quser

	$runUser = Get-ItemProperty "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"

	$runMachine =  Get-ItemProperty "HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

	$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
	$arrayName = "Processes", "TCPConnect", "UDPConnect", "TaskScheduled", "Users", "RunUser", "RunMachine",
	"ScheduledJob", "AlternativeDataStream"


	for ($w = 0; $w -lt $array.count; $w++){
		$name = $arrayName[$w]
		$array[$w] >> $path$name.txt
		}

	}

}

પ્રારંભ કરવા માટે, એક કાર્ય બનાવો CSIRT એક્સ્ટેંશન, જે દલીલ લેશે - પ્રાપ્ત ડેટાને સાચવવાનો માર્ગ. મોટાભાગના cmdlets Powershell v5 માં કામ કરે છે તે હકીકતને કારણે, PowerShell વર્ઝનની તપાસ યોગ્ય કામગીરી માટે કરવામાં આવી છે.

function CSIRT{
		
param($path)# при запуске скрипта необходимо указать директорию для сохранения
if ($psversiontable.psversion.major -ge 5)

બનાવેલ ફાઈલો દ્વારા નેવિગેશનની સરળતા માટે, બે વેરીએબલ શરૂ કરવામાં આવે છે: $date અને $Computer, જેને કમ્પ્યુટરનું નામ અને વર્તમાન તારીખ સોંપવામાં આવશે.

$date = Get-Date -Format dd.MM.yyyy_hh_mm
$Computer = $env:COMPUTERNAME
New-Item -Path $path$computer$date –ItemType 'Directory' -Force | Out-Null 
$path = "$path$computer$date"

અમને વર્તમાન વપરાશકર્તા વતી ચાલી રહેલી પ્રક્રિયાઓની સૂચિ નીચે પ્રમાણે મળે છે: $process વેરીએબલને win32_process ક્લાસ સાથે get-ciminstance cmdlet સોંપીને બનાવો. સિલેક્ટ-ઓબ્જેક્ટ cmdlet નો ઉપયોગ કરીને, તમે વધારાના આઉટપુટ પરિમાણો ઉમેરી શકો છો, અમારા કિસ્સામાં, આ પેરેન્ટપ્રોસેસીડ (PPID પેરેન્ટ પ્રોસેસ આઈડી), બનાવટની તારીખ (પ્રોસેસ બનાવવાની તારીખ), પ્રોસેસ્ડ (PID પ્રોસેસ આઈડી), પ્રોસેસનેમ (પ્રોસેસ નામ), કમાન્ડલાઈન હશે. (પ્રારંભ આદેશ).

$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname, processid, commandline, parentprocessid

બધા TCP અને UDP કનેક્શન્સની સૂચિ મેળવવા માટે, $netTCP અને $netUDP વેરિયેબલ્સને અનુક્રમે Get-NetTCPConnection અને Get-NetTCPConnection cmdlets સોંપીને બનાવો.

$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

સુનિશ્ચિત કાર્યો અને કાર્યોની સૂચિ જાણવી મહત્વપૂર્ણ રહેશે. આ કરવા માટે, અમે get-ScheduledTask અને Get-ScheduledJob cmdlets નો ઉપયોગ કરીએ છીએ. ચાલો તેમને $task અને $job ચલો સોંપીએ, કારણ કે શરૂઆતમાં, સિસ્ટમમાં ઘણા બધા સુનિશ્ચિત કાર્યો છે, પછી દૂષિત પ્રવૃત્તિને ઓળખવા માટે, તે કાયદેસર સુનિશ્ચિત કાર્યોને ફિલ્ટર કરવા યોગ્ય છે. સિલેક્ટ-ઓબ્જેક્ટ cmdlet અમને આમાં મદદ કરશે.

$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname| where author -notlike '*Майкрософт*' | where author -ne $null | where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*' # $task исключает авторов, содержащих “Майкрософт”, “Microsoft”, “*@%systemroot%*”, а также «пустых» авторов
$job = Get-ScheduledJob

એનટીએફએસ ફાઇલ સિસ્ટમમાં, વૈકલ્પિક ડેટા સ્ટ્રીમ્સ (વૈકલ્પિક ડેટા સ્ટ્રીમ્સ, એડીએસ) જેવી વસ્તુ છે. આનો અર્થ એ છે કે NTFS પરની ફાઇલને મનસ્વી કદના બહુવિધ ડેટા સ્ટ્રીમ સાથે વધુ સાંકળી શકાય છે. ADS સાથે, તમે એવા ડેટાને છુપાવી શકો છો જે માનક સિસ્ટમ તપાસ દ્વારા દેખાશે નહીં. આ દૂષિત કોડ દાખલ કરી શકે છે અને/અથવા ડેટા છુપાવી શકે છે.

પાવરશેલમાં વૈકલ્પિક ડેટા સ્ટ્રીમ્સ પ્રદર્શિત કરવા માટે, અમે તમામ સંભવિત સ્ટ્રીમ્સ જોવા માટે * સિમ્બોલ સાથે ગેટ-આઇટમ cmdlet અને બિલ્ટ-ઇન વિન્ડોઝ સ્ટ્રીમ ટૂલનો ઉપયોગ કરીશું, આ માટે અમે $ADS ચલ બનાવીશું.

$ADS = get-item * -stream * | where stream –ne ':$Data' 

સિસ્ટમમાં લૉગ ઇન થયેલા વપરાશકર્તાઓની સૂચિ જાણવા માટે તે ઉપયોગી થશે, આ માટે અમે $user ચલ બનાવીશું અને તેને quser પ્રોગ્રામનો અમલ સોંપીશું.

$user = quser

સિસ્ટમમાં પગ મેળવવા માટે, હુમલાખોરો ઓટોરનમાં ફેરફાર કરી શકે છે. ઑટોપ્લેમાં વસ્તુઓ જોવા માટે તમે Get-ItemProperty cmdlet નો ઉપયોગ કરી શકો છો.
ચાલો બે ચલો બનાવીએ: $runUser - વપરાશકર્તા વતી ઓટોલોડ જોવા માટે અને $runMachine - કમ્પ્યુટર વતી ઓટોલોડ જોવા માટે.

$runUser = Get-ItemProperty 
"HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
$runMachine = Get-ItemProperty 
"HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

બધી માહિતી વિવિધ ફાઈલો પર લખી શકાય તે માટે, અમે વેરીએબલ સાથે એરે અને ફાઈલ નામો સાથે એરે બનાવીએ છીએ.

$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
$arrayName = "Processes", "TCPConnect", "UDPConnect" "TaskScheduled", "Users", "RunUser", "RunMachine",
"ScheduledJob", "Alternative Data Stream"

અને, ફોર લૂપનો ઉપયોગ કરીને, પરિણામી ડેટા ફાઇલોમાં લખવામાં આવશે.

for ($w = 0; $w -lt $array.count; $w++){
	$name = $arrayName[$w]
	$array[$w] >> $path$name.txt

સ્ક્રિપ્ટ એક્ઝિક્યુટ કર્યા પછી, જરૂરી માહિતી ધરાવતી 9 ટેક્સ્ટ ફાઇલો બનાવવામાં આવશે.

આજે, સાયબર સિક્યુરિટી પ્રોફેશનલ્સ તેમના કાર્યમાં વિવિધ કાર્યોને ઉકેલવા માટે જરૂરી માહિતીને સમૃદ્ધ બનાવવા PowerShell નો ઉપયોગ કરી શકે છે. ઑટોલોડમાં સ્ક્રિપ્ટ ઉમેરીને, તમે ડમ્પિંગ, છબીઓ વગેરે વગર કેટલીક માહિતી મેળવી શકો છો.

સોર્સ: www.habr.com