对于一个未知的脚本,解混淆的应对方式

内容纲要

首先尝试使用PowerShell core 自编译版本输出解混淆内容

如果遇到format error, 调用Windows PowerShell 输出解混淆内容

对于Windows PowerShell

可以使用dll加载的模式,编写com实现,脚本动态执行过程中转储amsiscanbuffer的缓冲区内容。

PowerShell core

已经编译了一个开发者版本,可以在脚本执行过程中输出content内容,即缓冲区的内容

目前要解决的问题,对于解混淆后的内容,能否通过单步执行的方式分析脚本?

此种情况下,可以用我编译的PowerShell core进行分析,理论上可以做到。