简介

自 2021 年以来，我开发了许多脚本，以协助我的调查和修复工作。我想，为什么不把它们分享给公众，希望它们能对您有所帮助。

这些脚本是如何工作的？

我开发的脚本旨在与 Crowdstrike 端点检测与响应（EDR）配合使用。本质上，它们是云端脚本，只需点击一下按钮即可快速远程修复设备。

为什么要创建这些脚本？

我的脚本旨在协助安全运营中心（SOC）或事件响应分析师进行调查。有些脚本协助修复特定的不需要的软件/广告软件，另一些脚本则通过用户名协助调查特定系统，以提供更全面的可见性。

WinInspect - WinInspect 是一款轻量级工具，可协助分析师根据目标用户名更全面地了解 Windows 系统。
MACInspect - MACInspect 是一款轻量级工具，可协助分析师根据目标用户名更全面地了解 MAC 系统。
LinInspect - LinInspect 是一款轻量级工具，可协助分析师根据目标用户名更全面地了解 Linux 系统。
EnumChromeExt - EnumChromeExt 可检索 Chrome 扩展程序，并自动尝试检测其名称。
Win-PortScanner - Win-PortScanner 是一款极其轻量的端口扫描器。
ScanDll - ScanDll 是一款用于在进程中搜索特定动态链接库的工具。
ScanDllv2 - ScanDllv2 是一款使用 C# 在进程中搜索特定动态链接库的工具。它比 ScanDll 快得多，但由于 CrowdStrike RTR 界面上的标准输出显示问题，输出会写入日志文件。
RegScanner - 一款速度极快的工具，旨在使用唯一关键字搜索注册表项或值。
UnloadDll - 另一款速度极快的工具，旨在搜索加载到进程内存中的动态链接库，并尝试使用 FreeLibrary 将其卸载。
Win-DiskImage-Toolkit - 一款用于快速枚举或卸载磁盘映像的简单工具。
ScreenConnect-C2Extractor - ScreenConnect-C2Extractor 从 ScreenConnect（又名 ConnectWise Client）的 user.config 中检索 C2。
Win-PacketCapture - 一个引导式脚本，用于生成数据包转储以供分析。
jsonspection - JSONSpection 是一款旨在彻底检查和枚举 JSON 数据结构的实用程序。它可以帮助您分解复杂或嵌套的 JSON 数据块，识别所有键值路径，并理解数据中的整体架构和关系。这使得它对于调试 API、分析日志或为解析和自动化工作流准备数据非常有用。
EvidenceCollection - 此脚本从指定用户的“下载”、“文档”和“桌面”目录中收集常见的用户文档类型，例如 Word 文件、Excel 电子表格、文本文件、PDF 和电子邮件。它会自动创建 C:\temp\SIRT 目录（如果尚不存在），并将所有匹配的文件复制到该位置，以便集中审查、证据保全或事件调查。文件类型、目录和用户名均可根据案件需求进行自定义。
Win-DmpEventLogs - Win-DmpEventLogs 是一款极其实用的取证工具，允许您在指定的时间范围内转储 Windows 事件日志：1 = last 24 hours, 7 = last week, 30 = last month, 0 = all events. 已实现基本规则以协助识别。
Win-EnumVsCodeExtension - 此 PowerShell 脚本通过检查 VS Code 扩展目录并解析每个扩展的 package.json 元数据文件，来枚举指定用户帐户已安装的 Visual Studio Code 扩展。
Win-datebased_filehunt - 此 PowerShell 脚本使用嵌入式 C# 代码递归搜索 C:\ 驱动器，查找在特定日期被修改的文件。它会将所有匹配的文件（包括完整路径、最后修改时间戳和文件大小）记录到位于 C:\Windows\Temp\hunter_log_results.log 的日志文件中。

Process Execution Rules (Event ID 4688)
Net.exe Execution - General net.exe usage
Net User/Group - Net user/group commands
Net Share - Net share/use commands
Whoami Execution - Whoami command execution
Systeminfo Execution - Systeminfo command
Tasklist Execution - Tasklist command
Nslookup Execution - Nslookup command
Ping Sweep - Ping with -n or -t flags
PowerShell Encoded - PowerShell with encoded commands
PowerShell Bypass - PowerShell bypass techniques
PowerShell Download - PowerShell download strings
Certutil Download - Certutil used for downloads
BITSAdmin Download - BITSAdmin transfer/download
WMIC Process - WMIC process execution
Scheduled Task - Scheduled task creation/execution
Registry Modification - Registry add/delete operations
Service Creation - Service creation/start
Authentication & Access Rules
Network Logon - Network logon (LogonType 3)
Failed Admin Logon - Failed logon to Administrator account
Explicit Credential Use - Event ID 4648
Privilege Escalation - Event ID 4672
Account Management Rules
User Account Created - Event ID 4720
Group Member Added - Event ID 4728
System Configuration Rules
Service Installation - Event ID 4697
Service Modified - Event ID 7045 (System log)
Driver Load - Event ID 219 (System log)
Audit Policy Change - Event ID 4719
Network Share Added - Event ID 5142
WFP Blocked - Windows Filtering Platform blocked connection (Event ID 5157)

Crowdstrike API 脚本

CSSession - CSSession 是一个 CrowdStrike API 脚本，允许您通过输入目标主机名作为参数，经由实时响应（Real-Time-Response）进行连接。您必须拥有适当的 API 权限，并确保您的 clientid / secret 正确才能使用此脚本。
CrowdStrike-API-queued-script - CrowdStrike API 排队脚本允许您将所选云脚本排队到目标主机。您必须拥有适当的 API 权限，并确保 clientid / secret 正确才能使用此脚本。

Crowdstrike 修复脚本

以下库包含一系列修复脚本，旨在清除实际环境中常见的不需要的软件、广告软件和恶意软件。如果您遇到想要修复的特定程序，请随时下载相应的脚本并在您的环境中使用。

您觉得我的工作有帮助并想表示支持吗？欢迎在 Twitter 上添加我。如果您想给予更多支持，也可以在 Ko-Fi 上为我打赏。完全没有压力，无论如何我都感谢您的支持！

如果您希望通过提供自己的修复脚本来做出贡献，我们将不胜感激。任何有助于保护公众安全的帮助都备受珍视。请确保代码清晰简洁，以保证审查和验证过程顺利进行。提交内容可通过 issue 发送。所有者姓名将与该修复脚本相关联。

如果脚本有任何问题，请随时将其报告为 issue。

Threat-Remediation-Scripts

最受欢迎