内容纲要
首先尝试使用PowerShell core 自编译版本输出解混淆内容
如果遇到format error, 调用Windows PowerShell 输出解混淆内容
对于Windows PowerShell
可以使用dll加载的模式,编写com实现,脚本动态执行过程中转储amsiscanbuffer的缓冲区内容。
PowerShell core
已经编译了一个开发者版本,可以在脚本执行过程中输出content内容,即缓冲区的内容
目前要解决的问题,对于解混淆后的内容,能否通过单步执行的方式分析脚本?
此种情况下,可以用我编译的PowerShell core进行分析,理论上可以做到。