200723_Detecting & Removing an Attacker's WMI Persistence

200723_Detecting & Removing an Attacker's WMI Persistence WMI 에 등록된 필터를 확인하기 위해 만든 스크립트이다. 파워쉘 스크립트 bypass를 위해 배치파일을 이용해서 파워쉐를 실행하였다. 1번 메뉴를 이용해 등록된 WMI 필터정보를 확인하고, 2번 메뉴를 통해 등록된 필터를 삭제한다. # 1번 메뉴로 WMI필터정보를 확인할 때 문자열을 입력받아 현 디렉토리에 IP정보를 포함한 파일명으로 저장한다.

(지금 소스는 해당PC의 IP를 고유문자열로 사용했다.) ## WMI_Security_Script.bat ## _main_source_code(WMI Persistence).ps1...