使用 .NET 中的 SharpZipLiB，并在运行时加载（磁盘上无文件） - 参考：https://github.com/icsharpcode/SharpZipLib
可配合密码使用（压缩与解压）
支持 AES 和 ZipCrypto 两种加密方法。
压缩/解压时不会在临时目录中创建文件，全部在内存中运行。
使用 PowerShell 编写，并编译为带 GUI 的 exe。
使用 openmcdf .NET DLL 处理 OLE 文件 - 参考：https://github.com/ironfede/openmcdf
这类文件的扩展名为 .bup，实际上它们是一种 OLE 文件。
BUP 文件包含两个流：Details 和 File_0。Details 是 McAfee 反病毒报告，File_0 是被隔离的文件。请注意，隔离文件（BUP）可能包含多个被隔离的文件。
流采用 XOR 编码，密钥为 0x6A。
运行脚本并输入包含 yara 规则的源文件夹。 在脚本运行所在的路径下，会创建新文件 "merged.yar"。
比较两个文件夹 - 显示差异 - 哈希不匹配（HASH MISMATCH）。
在恶意软件分析过程中，有时你会发现禁用 系统 ASLR 非常有用。例如，你需要所有 DLL 根据可选头中的 imagebase 加载。在这种情况下，要让模块每次都在其 imagebase 上加载到进程空间，就必须禁用系统 ASLR。 禁用系统 ASLR 的另一个好处是，主模块（你的样本）的 ASLR 设置（可选头 --> Dll Characteristics --> Dll can move）也将被忽略（禁用），因此你无需修补它。 PS 版本 > 4.0
此工具是一个简单的 PSModule，能够查找带有备用数据流 "zone.identifier" 的文件。
它将解析 ADS，并在 GridView 中显示所有相关信息以及一些关于文件的信息。
可用选项：
-recurse（递归搜索文件）
-path（搜索文件的起始路径）
-Export2CVS（将表格导出为 CSV 到当前目录）
示例：
Import-Module .\Get-AlternateDataStream.ps1
Get-AlternateDataStream -Path ....\Downloads\ -recurse -Export2CSV
要求：
Windows 操作系统
PowerShell Core 或 Windows PowerShell
获取 NAME、FOLDER_PATH 和 CSIDL 的简单单行命令。
Invoke-DetectItEasy 是一个 PowerShell 模块，也是优秀工具 Detect-It-Easy 的封装器。它对于威胁狩猎和取证非常有用。
链接：https://github.com/Dump-GUY/Invoke-DetectItEasy
Get-PDInvokeImports 是一个工具（PowerShell 模块），能够自动检测程序集中的 P/Invoke、Dynamic P/Invoke 和 D/Invoke 使用情况。显示所有引用它们的位置，并将全部导出到 DnSpy_Bookmarks.xml
链接：https://github.com/Dump-GUY/Get-PDInvokeImports
一个简单的代码片段示例，演示如何将原生 DLL 添加到 .NET 程序集的 IAT 中，以便在运行时调用 DllMain。
使用 AsmResolver 和 PWSH 7.2+（NET6.0）时，你可以使用不同版本的 PWSH，但需使用相应的 AsmResolver
链接：https://github.com/Washi1337/AsmResolver
