PersistenceSniper

<table class="tg"> <thead> <tr> <th class="tg-0pky"><h1 align=center>持续性嗅探器</h1></th> </tr> </thead> <tbody> <tr> <td class="tg-0pky"><p align="center"> <img src="https://yellow-cdn.veclightyear.com/0a4dffa0/f1a3d95f-e4aa-40ac-b70b-5eb7706feb66.png?raw=true" width="40%"> <p align="center"><a href="https://www.powershellgallery.com/packages/PersistenceSniper/"><img src="https://img.shields.io/badge/Language-Powershell-blue" alt="语言" style="text-align:center;display:block;"></a> <a href="https://www.powershellgallery.com/packages/PersistenceSniper/"><img src="https://img.shields.io/powershellgallery/v/PersistenceSniper?label=Module%20Version" alt="版本盾牌标志" style="text-align:center;display:block;"></a> <a href="https://github.com/last-byte/PersistenceSniper/wiki/3-%E2%80%90-Detections"><img src="https://img.shields.io/badge/Persistence%20Techniques-56-brightgreen" alt="已实现的技术数量" style="text-align:center;display:block;"></a> <a href="https://www.powershellgallery.com/packages/PersistenceSniper/"><img src="https://img.shields.io/badge/Digital%20Signature-Valid-brightgreen" alt="工作流程" style="text-align:center;display:block;"></a> <a href="https://www.powershellgallery.com/packages/PersistenceSniper/"><img src="https://img.shields.io/powershellgallery/dt/PersistenceSniper?label=Gallery%20Downloads" alt="库下载量" style="text-align:center;display:block;"></a> <a href="https://twitter.com/PersistSniper"><img src="https://img.shields.io/twitter/follow/PersistSniper?style=social" alt="推特" style="text-align:center;display:block;"></a> <a href="https://twitter.com/last0x00"><img src="https://img.shields.io/twitter/follow/last0x00?style=social" alt="推特" style="text-align:center;display:block;"></a> <a href="https://twitter.com/dottor_morte"><img src="https://img.shields.io/twitter/follow/dottor_morte?style=social" alt="推特_rick" style="text-align:center;display:block;"></a> <a href="https://www.buymeacoffee.com/last0x00"><img src="https://img.shields.io/badge/buy%20me%20a-coffee-yellow" alt="给我买杯咖啡" style="text-align:center;display:block;"></a></p> <p align="center">持续性嗅探器是一个Powershell模块，可被蓝队、事件响应人员和系统管理员用于在Windows机器上搜寻植入的持续性。它也可在<a href=https://www.powershellgallery.com/packages/PersistenceSniper>Powershell Gallery</a>上获取，并使用有效的代码签名证书进行了数字签名。该工具正在积极开发中，每周都会发布新版本，因此请确保使用最新版本。官方Twitter/X账号<a href="https://twitter.com/PersistSniper">@PersistSniper</a>。</p> </td> </tr> </tbody> </table> ## 为什么

你可能会问，为什么要开发这样一个工具。首先，我尝试寻找但没有找到适合我特定用例的工具，即自动在多台机器上搜索已知的持久化技术，同时能够快速轻松地解析和比较结果。诚然，Sysinternals的Autoruns是一个出色的工具，绝对值得使用，但由于它以非标准格式输出结果，且除非你对其命令行版本做一些复杂操作，否则无法远程运行，我发现它不太适合我。此外，据我所知，PersistenceSniper目前实现的一些技术尚未在Autoruns中实现。总之，如果你需要的是一个易用、基于GUI的工具，并且具有许多已实现的功能，Autoruns是不二之选；否则，不妨让PersistenceSniper试一试，它不会错过目标的😉

如何使用

要了解如何正确使用PersistenceSniper，请前往项目的Wiki。

简而言之 如果你懒得阅读Wiki（我强烈建议你阅读），你可以通过以下三个命令安装、导入和启动PersistenceSniper。

PS> Install-Module PersistenceSniper
PS> Import-Module PersistenceSniper
PS> Find-AllPersistence

目前实现的持久化技术

目前实现的持久化技术详见PersistenceSniper Wiki的检测页面。

致谢

这个工具的大部分内容都基于其他skilled研究人员的工作，因此有必要给予应有的认可。如果没有以下人员，这个项目就不会存在：

• Hexacorn及其永不结束的"超越传统运行键系列"；
• Grzegorz Tworek和他出色的persistence-info.github.io网站；
• 所有披露了新颖未知持久化技术的其他研究人员。

此外，以下人员为项目做出了贡献：

• Riccardo Ancarani
• Cecio
• Vadim
• fkadibs
• suinswofi
• Antonio Blescia
• Strassi

我还要感谢@APTortellini的同事们，他们提供的大量想法帮助这个项目从一个简单的文本脚本发展成为一个成熟的Powershell模块。

许可证

本项目采用MIT许可证的Commons Clause版本。简而言之：您可以出于任何原因复制、修改、分发和使用本作品，但__不包括__商业目的，且无需征得许可。