Crear un fichero de volcado de memoria de un proceso y detectar DLL | Operating systems, scripting, PowerShell and security

Análisis forense, PowerShell, Procesos, Seguridad

Ver módulos que carga el proceso notepad

Get-Process -Name notepad -Module | Sort-Object ModuleName

1	Get-Process -Name notepad -Module \| Sort-Object ModuleName

Buscar el módulo DLL en el fichero de volcado

#Crear fichero de volcado
$Proceso=Get-Process -Name notepad
$NombreF=(($Proceso).name)+'.dmp'
$Fichero = New-Object IO.FileStream($NombreF,[IO.FileMode]::Create)
(([PSObject].Assembly.GetType('System.Management.Automation.WindowsErrorReporting')).GetNestedType('NativeMethods', 'NonPublic')).GetMethod('MiniDumpWriteDump',[Reflection.BindingFlags] 'NonPublic, Static').Invoke($null, @($Proceso.Handle,$Proceso.Id,$Fichero.SafeFileHandle,[UInt32] 2,[IntPtr]::Zero,[IntPtr]::Zero,[IntPtr]::Zero))
$Fichero.Close()

#Crear fichero de volcado

$Proceso=Get-Process -Name notepad

$NombreF=(($Proceso).name)+'.dmp'

$Fichero = New-Object IO.FileStream($NombreF,[IO.FileMode]::Create)

(([PSObject].Assembly.GetType('System.Management.Automation.WindowsErrorReporting')).GetNestedType('NativeMethods', 'NonPublic')).GetMethod('MiniDumpWriteDump',[Reflection.BindingFlags] 'NonPublic, Static').Invoke($null, @($Proceso.Handle,$Proceso.Id,$Fichero.SafeFileHandle,[UInt32] 2,[IntPtr]::Zero,[IntPtr]::Zero,[IntPtr]::Zero))

$Fichero.Close()

Crear un fichero de volcado de memoria de un proceso y detectar DLL (Seguridad, Procesos, PowerShell, Análisis forense)

LIBRO DE POWERSHELL

LO ÚLTIMO

VÍDEOS