anthonylouzon11-wq/powershell-threat-hunter

# 可疑 PowerShell 检测 ## 功能介绍 扫描 Windows PowerShell Operational 日志以查找可疑的执行模式：编码命令、绕过标志、下载 cradle 和混淆。 ## 如何运行 ``` .\hunt_suspicious_ps.ps1 ``` ## 检测模式 - -ep bypass, -executionpolicy bypass - -enc, -encodedcommand - IEX, Invoke-Expression - Net.WebClient, DownloadString, DownloadFile - FromBase64String, powershell -w hidden ## 使用工具 - PowerShell 5.1 - Windows Event Log API ## 学习心得 - Windows Event Log 解析与过滤 - Living-off-the-land 攻击检测 - 基于模式的威胁狩猎方法论

标签：DNS 反向解析, IPv6, Libemu, OpenCanary, PowerShell, URL发现, Windows事件日志, 安全检测, 网络信息收集