借助Windbg脚本进行更为有效的PowerShell Hook。
草泥马之家
Windows与.Net.....
PowerShell
PowerShell恶意代码分析辅助：命令Hook
2019年02月23日 / 作者：zcgonvh / 分类：PowerShell / 评论：2 / 浏览：9125
一个简单有效的PowerShell命令Hook。
Tags：
- 搜索
- 最近发表
-
- DCOM Potato
- Advanced Windows TaskScheduler Playbook - Part.3 from RPC to lateral movement
- Advanced Windows Task Scheduler Playbook - Part.2 from COM to UAC bypass and get SYSTEM dirtectly
- Advanced Windows Task Scheduler Playbook - Part.1 basic
- EfsPotato
- CVE-2020-17144漏洞分析与武器化
- Windows任意文件下载的三个Tips
- CVE-2020-0688的武器化与.net反序列化漏洞那些事
- POP3 MITM思路与简单实现
- RemoteFreeLibrary
- 最新留言
-
- 我收回这句话，当我没说，解压密码找到了
- 压缩包双击打开，仔细看工具栏那里，有个《注释》选项，点开里面就是解压密码，其实楼主的名字就是解压密码
- 楼主是选择性回复呀，关于解压密码一个字都不提呀
- yyyyyds
- 讲道理是可以的，DPAPI用的是用户那几个key，下载回来本地Mimikatz就行了。新版本SSMS这种直接用Mimikatz或者其它类似的工具省心。
- SSMS 18高版本经常出现在 Windows Server 2016, Windows Server 2019及以上其中连接目标多是Microsoft SQL Server 2016, Microsoft SQL Server 2019密码不再保存在SqlStudio.bin, 而是存储在用户 Windows Credential 普通凭据中,执行 cmdkey.exe /l 验证.目标: LegacyGeneric:target=Microsoft:SSMS:18:WIN-XXX1:sa:8ca1a03d-f9b4-46c0-a315-b5dcc79ff907:1类型: 普通用户: sa本地机器持续时间
- 解密成功!Windows 7 x64 (6.1 Build 7601, Service Pack 1)SQL Server 2008 R2 Management Studio (10.50.1600.1)SSMSPwd40.exe -f D:\SqlStudio.bin -p "C:\Program Files (x86)\Microsoft SQL Server\100\Tools\Binn\VSShell\Common7\IDE"可惜不能离线下载后解密qaq
- 膜拜zcg，学到不少
- 再次膜拜zcg
- @cnn:you can probably solve that with this PR https://github.com/zcgonvh/EfsPotato/pull/2
- 分类归档
- RSS
-
- 联系方式
