监控渗透测试中powershell白名单利用行为

简介

您可以使用PowerShell.exe从另一个工具（例如Cmd.exe）的命令行启动PowerShell会话，也可以在PowerShell命令行启动新会话。从此处阅读Microsoft Windows官方网站上的更多信息。

补充说明：在高版本powershell（V5以上含V5）中，可以通过配置策略，对进程命令行参数进行记录，具体策略可参考powershell事件。同样也可以在不同版本操作系统中部署sysmon，通过sysmon日志进行监控。

基础日志

windows 安全日志/SYSMON日志（需要自行安装）

测试复现

环境准备

攻击机：Kali2019

靶机：win7（sysmon）

攻击分析

生成payload

下载我们本次测试中要用到的powercat，下载地址：https://github.com/besimorhino/powercat

开启小型http服务

powercat目录下执行以下命令：

root@12306Br0:~# python2 -m SimpleHTTPServer 80
Serving HTTP on 0.0.0.0 port 80 ...