本工具从PowerShell日志的事件日志中检测基于PowerShell的恶意软件的痕迹。
在线演示
git clone https://github.com/Sh1n0g1/z9
cd z9
pip install -r requirements.txt
usage: z9.py [-h] [--output OUTPUT] [-s] [--no-viewer] [--utf8] input
positional arguments:
input Input file path
options:
-h, --help show this help message and exit
--output OUTPUT, -o OUTPUT
Output file path
-s, --static Enable Static Analysis mode
--no-viewer Disable opening the JSON viewer in a web browser
--utf8 Read scriptfile in utf-8 (deprecated)
python z9.py <input file> -o <output json>
python z9.py <input file> -o <output json> --no-viewer
| 参数 | 含义 |
|---|---|
input file | 从事件日志导出的XML文件 |
-o output json | z9结果的文件名 |
--no-viewer | 不打开查看器 |
示例)
python z9.py util\log\mwpsop.xml -o sample1.json
python z9.py <input file> -o <output json> -s
python z9.py <input file> -o <output json> -s --utf8
python z9.py <input file> -o <output json> -s --no-viewer
示例)
python z9.py malware.ps1 -o sample1.json -s
util/enable_powershell_logging.reg。util/collect_psevent.bat。util/log 目录下创建。util/collect_psevent.bat| 参数 | 含义 |
|---|
input file | 要分析的PowerShell文件 |
-o output json | z9结果的文件名 |
-s | 执行静态分析 |
--utf8 | 当输入文件为UTF-8编码时指定 |
--no-viewer | 不打开查看器 |