RemotePSpy

RemotePSpy RemotePSpy 提供对远程 PowerShell 会话的实时监控，这对于没有内置全面日志记录功能的旧版（5.0 之前）PowerShell 尤其有用。 它使用 Windows 事件跟踪（ETW）从 WinRM 协议获取消息数据，该协议用作远程 PowerShell 的传输层，并解码各个协议层以提供所执行脚本命令及其输入/输出的跟踪信息。 这目前是一个早期研究原型，因此并不支持 PowerShell 远程协议（PSRP）的每个方面。它仍然可以为远程 PowerShell 会话中发生的情况提供有用的见解。 安装 最简单的安装方式是使用 pip： pip insta...

BeaconHunter

BeaconHunter Cで構築されたETWトレーシングを利用した、動作ベースの監視およびハンティングツール。ブルーチームはこのツールを使用して、潜在的なCobalt Strikeビーコンを検出・対応できます。レッドチームはこのツールを使用して、ETWバイパスを研究し、ビーコンのように振る舞う新しいプロセスを発見できます。 著者 : Andrew Oliveau @AndrewOliveau TL;DR 良性プロセスに注入されたビーコンインプラントは、Wait:DelayExecution 状態のスレッド内に存在します（おそらくCobalt...

Sealighter

Sealighter - セキュリティリサーチのための簡単ETWトレーシング このプロジェクトは、開発者以外の方でも、Event Tracing for Windows ETW と Windows PreProcessor Tracing WPP の研究に取り組みやすくするために作成しました。 機能 複数のETWおよびWPPプロバイダーに同時にサブスクライブ イベントを自動的にJSONにパース（フォーマットを知る必要なし） フィルターチェーンやフィルター否定を含む堅牢なイベントフィルタリング 標準出力、ファイル、またはWindowsイベントログ（他のツールで取り込むため）に出力...

RPCMon

Windows 用イベントトレーシング ETW を介した RPC 通信をスキャンする GUI ツール。 このツールは、ホストと Windows コンテナ間の RPC 通信に関する研究の一環として公開されました。 概要 RPCMon は、研究者がプロセス間の RPC 通信の概要を把握するのに役立ちます。使いやすさを考慮して Procmon のように構築され、RPC に James Forshaw の .NET ライブラリを使用しています。RPCMon は、呼び出されている RPC 関数、呼び出したプロセス、およびその他の関連情報を表示できます。 RPCMon は、RPC...