İçeriğe atla
0 XP 0
Windows inceleme

Görünmeyen Betik

Zor2 flag6 adım

Araçlar

  • Get-WinEvent
  • Get-Process
  • Stop-Process
  • New-NetFirewallRule

Brifing

EDR sistemi WKS-SATIS05'te kodlanmış bir PowerShell çalıştırması için uyarı üretti. Satış departmanındaki kullanıcı az önce bir e-posta eki açtığını söylüyor.

PowerShell Operational günlüğü zaten açık, betik blok günlükleri (4104) tutuluyor. Önce şüpheli betik metnini bul, sonra hangi sürecin çalıştırdığını izle.

Süreç zincirini ebeveynine kadar takip et, kaynağı belirle. Sonra süreci durdur ve dışarıya giden bağlantıyı engelle.

Görevler

0/6 tamamlandı
  1. 4104 ile şüpheli betik blok olayını bulFlag
  2. Betiğin kaynak yolunu ve süreç kimliğini öğren
  3. Betiği çalıştıran süreci incele
  4. Süreç zincirinde ebeveyni bul
  5. Zararlı süreci sonlandır
  6. Bağlantı adresini güvenlik duvarında engelleFlag
PS C:\Users\analist>simülasyon
AltaySec eğitim terminali. Bu bir simülasyondur, gerçek makineye bağlı değilsin.
Kapsam:
- WKS-SATIS05.altaykargo.example (10.20.80.19) üzerindeki PowerShell Operational günlüğü ve süreçler
- Günlük okuma, süreç inceleme, süreç sonlandırma ve güvenlik duvarı kuralı ekleme
- Disk görüntüsü alma, bellek dökümü yok
Kullanabileceğin araçlar: Get-WinEvent, Get-Process, Stop-Process, New-NetFirewallRule
Komutları bilmiyorsan 'yardim' yaz. Görevleri yukarıdaki listeden takip et.
PS C:\Users\analist>

Tab tamamlar · ↑ ↓ önceki komutlar · Ctrl+C iptal · Ctrl+L temizle · Esc terminalden çıkar

Bu bir simülasyondur. Komutlar gerçek bir sisteme gitmez. Öğrendiğin yöntemi izinsiz bir hedefte denemek suçtur. Yapay zekâ güvenliği için yasal ortam Bekçi arenası.