1. 树叶云首页
  2. 技术资讯

恶意程序分析利器PowerShellArsenal

运维••技术资讯

简介

PowerShellArsenal是一个PowerShell模块，它的功能是帮助逆向工程师来分析.NET恶意软件，PowerShellArsenal的功能非常强大，它可以反汇编.NET恶意软件、分析和抓取内存、解析文件格式和内存结构，获取内部系统信息等。

1.Disassembly

反汇编代码

（1）Get-CSDisassembly

使用Capstone Engine反汇编引擎反汇编代码

使用方法：

 

  1. Get-CSDisassembly -Architecture {Arm | Arm64 | Mips | X86 | PPC | CS_ARCH_ALL} -Mode {LittleEndian | Arm | Mode16 | 
  2.  Mode32 | Mode64 | Thumb | Micro | N64 | BigEndian} -Code <Byte[]> [-Offset <UInt64>] [-Count <UInt32>] [-Syntax <S 
  3. tring>] [-DetailOn] [<CommonParameters>] 

（2）Get-ILDisassembly

MSIL(Microsoft Intermediate Language (MSIL)微软中间语言。)反汇编器。

使用方法：

  1. Get-ILDisassembly -AssemblyPath <String> -MetadataToken <Int32> [<CommonParameters>] 
  2.  
  3. Get-ILDisassembly -MethodInfo <MethodBase> [<CommonParameters>] 
  4.  
  5. Get-ILDisassembly -MethodDef <MethodDef> [<CommonParameters>] 

2.MalwareAnalysis

分析恶意软件时需要用到的工具。

（1）New-FunctionDelegate

提供了一个X86或x86_64功能的可执行包装。

使用方法：

  1. New-FunctionDelegate [[-Parameters] <Type[]>] [[-ReturnType] <Type>] [-FunctionBytes] <Byte[]> [[-CallingConvention 
  2. ] {Winapi | Cdecl | StdCall | ThisCall | FastCall}] [-DebugBreak] [<CommonParameters>] 

（2）Invoke-LoadLibrary

主要调用kernel32!LoadLibrary用于恶意软件分析，将DLL加载到当前的PowerShell进程中。

使用方法：

  1. Invoke-LoadLibrary [-FileName] <String> [<CommonParameters>] 

（3）New-DllExportFunction

New-DllExportFunction接受一个模块，然后导出procedure name，返回类型、参数类型。***创建一个托管的委托，可用于执行非托管函数。

使用方法：

  1. New-DllExportFunction [-Module] <ProcessModule> [-ProcedureName] <String> [[-Parameters] <Type[]>] [[-ReturnType] < 
  2. Type>] [<CommonParameters>] 

（4）Get-HostsFile

解析HOSTS文件

使用方法：

  1. Get-HostsFile [[-Path] <String>] [-Show] [<CommonParameters>] 

（5）New-HostsFileEntry

替换或添加内容到HOSTS文件

使用方法：

  1. New-HostsFileEntry [-IPAddress] <IPAddress> [-Hostname] <String> [[-Comment] <String>] [-Path <String>] [-PassThru] 
  2.  [-Show] [<CommonParameters>] 

（6）Remove-HostsFileEntry

从HOSTS文件中删除内容

使用方法：

  1. Remove-HostsFileEntry -IPAddress <IPAddress> [-Path <String>] [-PassThru] [-Show] [<CommonParameters>] 
  2.  
  3. Remove-HostsFileEntry -Hostname <String> [-Path <String>] [-PassThru] [-Show] [<CommonParameters>] 
  4.  
  5. Remove-HostsFileEntry [-Path <String>] [-PassThru] [-Show] [-HostsEntry <PSObject[]>] [<CommonParameters>] 

（7）Get-AssemblyStrings

输出.NET可执行文件所有定义的字符串

使用方法：

  1. Get-AssemblyStrings -AssemblyPath <String> [-HeapType <String>] [-Raw] [<CommonParameters>] 
  2.  
  3. Get-AssemblyStrings -AssemblyBytes <Byte[]> [-HeapType <String>] [-Raw] [<CommonParameters>] 
  4.  
  5. Get-AssemblyStrings -AssemblyInfo <Assembly> [-HeapType <String>] [-Raw] [<CommonParameters>] 

（8）Get-AssemblyResources

提取程序中的资源

  1. Get-AssemblyResources -AssemblyPath <String> [<CommonParameters>] 
  2.  
  3. Get-AssemblyResources -AssemblyBytes <Byte[]> [<CommonParameters>] 
  4.  
  5. Get-AssemblyResources -AssemblyInfo <Assembly> [<CommonParameters>] 

（9）Remove-AssemblySuppressIldasmAttribute

从.NET程序集中删除SuppressIldasmAttribute属性。

使用方法：

  1. Remove-AssemblySuppressIldasmAttribute -AssemblyPath <String> -FilePath <String> [<CommonParameters>] 
  2.  
  3. Remove-AssemblySuppressIldasmAttribute -AssemblyBytes <Byte[]> -FilePath <String> [<CommonParameters>] 
  4.  
  5. Remove-AssemblySuppressIldasmAttribute -AssemblyInfo <Assembly> -FilePath <String> [<CommonParameters>] 

（10）Get-AssemblyImplementedMethods

返回程序的所有方法。

使用方法：

  1. Get-AssemblyImplementedMethods -AssemblyPath <String> [<CommonParameters>] 
  2.  
  3. Get-AssemblyImplementedMethods -AssemblyBytes <Byte[]> [<CommonParameters>] 
  4.  
  5. Get-AssemblyImplementedMethods -AssemblyInfo <Assembly> [<CommonParameters>] 

3.MemoryTools

检查和分析进程内存

（1）Get-ProcessStrings

输出一个进程的用户模式内存中所以可打印的字符串

使用方法：

  1. Get-ProcessStrings [-ProcessID] <Int32> [-MinimumLength <UInt16>] [-Encoding <String>] [-IncludeImages] [<CommonPar 
  2. ameters>] 

（2）Get-VirtualMemoryInfo

调用的kernel32!VirtualQueryEx

使用方法：

  1. Get-VirtualMemoryInfo [-ProcessID] <Int32> [-ModuleBaseAddress] <IntPtr> [-PageSize <Int32>] [<CommonParameters>] 

（3）Get-ProcessMemoryInfo

类似于!vadump WinDbg命令

使用方法：

  1. Get-ProcessMemoryInfo [-ProcessID] <Int32> [<CommonParameters>] 

（4）Get-StructFromMemory

将数据从任意进程中的非托管内存块调度到新分配的指定类型的托管对象。

  1. Get-StructFromMemory [-Id] <UInt16> [-MemoryAddress] <IntPtr> [-StructType] <Type> [<CommonParameters>] 

4.Parsers

解析文件格式和内存结构

（1）Get-PE

分析内存和磁盘上文件的PE头

使用方法： 

  1. Get-PE [-ProcessID] <Int32> [[-ModuleBaseAddress] <IntPtr>] [[-Module] <ProcessModule[]>] [-DumpDirectory <String>] 
  2.  [-IgnoreMalformedPE] [<CommonParameters>] 
  3.  
  4. Get-PE [-FileBytes] <Byte[]> [-IgnoreMalformedPE] [<CommonParameters>] 

（2）Find-ProcessPEs

在内存中查找可移植的可执行文件，而不管它们是否以合法方式加载

使用方法：

  1. Find-ProcessPEs [-ProcessID] <Int32> [<CommonParameters>] 

（3）Get-LibSymbols

显示来自Windows LIB文件的符号信息。

使用方法：

  1. Get-LibSymbols [-Path] <String[]> [<CommonParameters>] 

（4）Get-ObjDump

显示有关Windows对象(OBJ)文件的信息。

使用方法：

  1. Get-ObjDump [-Path] <String[]> [<CommonParameters>] 

5.WindowsInternals

获取并分析低级别的Windows操作系统的信息。

（1）Get-NtSystemInformation

一个实用的程序，调用ntdll!NtQuerySystemInformation函数，可用于查询通常对用户不可见的内部操作系统信息。

使用方法：

  1. Get-NtSystemInformation [-PoolTagInformation] [<CommonParameters>] 
  2.  
  3. Get-NtSystemInformation [-ModuleInformation] [<CommonParameters>] 
  4.  
  5. Get-NtSystemInformation [-HandleInformation] [-ObjectType <String>] [<CommonParameters>] 
  6.  
  7. Get-NtSystemInformation [-ObjectInformation] [<CommonParameters>] 
  8.  
  9. Get-NtSystemInformation [-LockInformation] [<CommonParameters>] 
  10.  
  11. Get-NtSystemInformation [-CodeIntegrityInformation] [<CommonParameters>] 
  12.  
  13. Get-NtSystemInformation [-GlobalFlags] [<CommonParameters>] 

（2）Get-PEB

返回一个进程的进程环境块(PEB)。

使用方法：

  1. Get-PEB [-Id] <UInt16[]> [<CommonParameters>] 

（3）Register-ProcessModuleTrace

跟踪加载进程的模块

使用方法：

  1. Register-ProcessModuleTrace [<CommonParameters>] 

（4）Get-ProcessModuleTrace

显示已加载自调用Register-ProcessModuleTrace流程模块

使用方法:

  1. Get-ProcessModuleTrace [<CommonParameters>] 

（5）Unregister-ProcessModuleTrace

停止正在运行的进程模块跟踪

使用方法：

  1. Unregister-ProcessModuleTrace [<CommonParameters>] 

（6）Get-SystemInfo

调用kernel32!GetSystemInfo来获取系统的一些信息。

使用方法：

  1. Get-SystemInfo [<CommonParameters>] 

6.Misc

其他的辅助功能

（1）Get-Member

用于扩展内置Get-Member cmdlet的代理函数

使用方法：

  1. Get-Member [-InputObject <PSObject>] [[-Name] <String[]>] [-MemberType {AliasProperty | CodeProperty | Property | 
  2. NoteProperty | ScriptProperty | Properties | PropertySet | Method | CodeMethod | ScriptMethod | Methods | Parameter 
  3. izedProperty | MemberSet | Event | Dynamic | All}] [-View {Extended | Adapted | Base | All}] [-Static] [-Force] [<C 
  4. ommonParameters>] 
  5.  
  6. Get-Member [-InputObject <PSObject>] [[-Name] <String[]>] [-PrivateMemberType {Constructor | Event | Field | Metho 
  7. d | Property | TypeInfo | Custom | NestedType | All}] [-Static] [-Force] [-Private] [<CommonParameters>] 

（2）Get-Strings

Get-Strings cmdlet从文件返回字符串(Unicode和/或Ascii)。 此cmdlet对转储字符串很有用。

使用方法：

  1. Get-Strings [-Path] <String[]> [-Encoding <String>] [-MinimumLength <UInt32>] [<CommonParameters>] 

（3）ConvertTo-String

ConvertTo-String执行二进制正则表达式非常有用。

使用方法：

  1. ConvertTo-String [-Path] <String> [<CommonParameters>] 

（4）Get-Entropy

计算文件或字节数组的熵。

使用方法：

  1. Get-Entropy [-ByteArray] <Byte[]> [<CommonParameters>] 
  2.  
  3. Get-Entropy [-FilePath] <FileInfo> [<CommonParameters>] 

项目地址：https://github.com/mattifestation/PowerShellArsenal

文章来源网络，作者：运维，如若转载，请注明出处：https://shuyeidc.com/wp/129636.html<

赞 (0)
运维的头像运维
00
上一篇2025-02-25 17:09
下一篇 2025-02-25 17:10

相关推荐

  • 如何制作个人主题技术资讯

    个人主题怎么制作？

    制作个人主题是一个将个人风格、兴趣或专业领域转化为视觉化或结构化内容的过程，无论是用于个人博客、作品集、社交媒体账号还是品牌形象，核心都是围绕“个人特色”展开，以下从定位、内容规划、视觉设计、技术实现四个维度,详细拆解制作个人主题的完整流程，明确主题定位：找到个人特色的核心主题定位是所有工作的起点，需要先回答……

    运维的头像运维
    2025-11-20
    0
  • 如何管理社群营销技术资讯

    社群营销管理关键是什么？

    社群营销的核心在于通过建立有温度、有价值、有归属感的社群，实现用户留存、转化和品牌传播，其管理需贯穿“目标定位-内容运营-用户互动-数据驱动-风险控制”全流程,以下从五个维度展开详细说明：明确社群定位与目标社群管理的首要任务是精准定位，需明确社群的核心价值（如行业交流、产品使用指导、兴趣分享等）、目标用户画像……

    运维的头像运维
    2025-11-20
    0
  • 香港公司如何网站备案技术资讯

    香港公司网站备案需要什么材料？

    香港公司进行网站备案是一个涉及多部门协调、流程相对严谨的过程，尤其需兼顾中国内地与香港两地的监管要求，由于香港公司注册地与中国内地不同，其网站若主要服务内地用户或使用内地服务器，需根据服务器位置、网站内容性质等，选择对应的备案路径（如工信部ICP备案或公安备案），以下从备案主体资格、流程步骤、材料准备、注意事项……

    运维的头像运维
    2025-11-20
    0
  • 如何企业上云推广技术资讯

    如何企业上云推广

    企业上云已成为数字化转型的核心战略,但推广过程中需结合行业特性、企业痛点与市场需求，构建系统性、多维度的推广体系，以下从市场定位、策略设计、执行落地及效果优化四个维度，详细拆解企业上云推广的实践路径，精准定位：明确目标企业与核心价值企业上云并非“一刀切”的方案，需先锁定目标客户群体，提炼差异化价值主张，客户分层……

    运维的头像运维
    2025-11-20
    0
  • PS如何设计搜索框技术资讯

    PS设计搜索框的实用技巧有哪些？

    在PS中设计一个美观且功能性的搜索框需要结合创意构思、视觉设计和用户体验考量，以下从设计思路、制作步骤、细节优化及交互预览等方面详细说明，帮助打造符合需求的搜索框，设计前的规划明确使用场景：根据网站或APP的整体风格确定搜索框的调性，例如极简风适合细线条和纯色，科技感适合渐变和发光效果，电商类则可能需要突出搜索……

    运维的头像运维
    2025-11-20
    0

发表回复

您的邮箱地址不会被公开。必填项已用 * 标注