Powershell - Abfrage Ereignis 4688 für Befehlszeilen-Text

Question

In Bezug auf Powershell und Event4688, wo es jetzt möglich ist, in einer Windows-Befehlszeile eingegebenen Text zu protokollieren.

Gibt es eine Möglichkeit, die Powershell zu verwenden Get-WinEvent -FilterHashTable mir zu zeigen, was in ‚Process Command Line“ der Ereignisprotokolle eingetragen wurde? Dies wäre der eigentliche Text jemand in die Befehlszeile eingegeben.

Answer 1

Sie können auf die Eigenschaften in einer Ereignismeldung zugreifen, indem Sie Properties verwenden, aber Sie müssen ein Beispielereignis verwenden, damit Sie die Nachricht vergleichen können, und das Properties -array, um herauszufinden, welcher Index das richtige Feld ist), aber Sie sollten überprüfen

Liste Eigenschaften (Werte in message):.

(Get-WinEvent -FilterHashtable @{ 
    LogName = 'Security' 
    ID = 4688 
} -MaxEvents 1).Properties 

Value       
-----       
S-1-5-18      
-        
-        
999        
920        
C:\Windows\System32\lsass.exe 
%%1936       
784        
      #I believe this is CommandLine      
S-1-0-0       
-        
-        
0        
C:\Windows\System32\wininit.exe 
S-1-16-16384 

Mit Select-Object können Sie Ihr eigenes Objekt erstellen, um ex zu extrahieren. die Timecreated und die Commandline (mit custom/berechneten Eigenschaften):

Get-WinEvent -FilterHashtable @{ 
    LogName = 'Security' 
    ID = 4688 
} | Select-Object TimeCreated,@{name='NewProcessName';expression={ $_.Properties[5].Value }}, @{name='CommandLine';expression={ $_.Properties[8].Value }} 

#I didn't have any values in my events 

TimeCreated   NewProcessName     CommandLine 
-----------   --------------     ----------- 
09.04.2016 00:56:04 C:\Windows\System32\lsass.exe    
09.04.2016 00:56:04 C:\Windows\System32\services.exe    
09.04.2016 00:56:04 C:\Windows\System32\winlogon.exe    
09.04.2016 00:56:04 C:\Windows\System32\wininit.exe    
09.04.2016 00:56:04 C:\Windows\System32\csrss.exe    

Sie auch XML für den Zugriff auf die Eigenschaften nutzen könnten, aber dies wäre nützlicher, wenn Sie verschiedene eventIDs Auflistung wurden (waren die Reihenfolge, in der Eigenschaften- Array wäre anders). Bsp .:

Get-WinEvent -FilterHashtable @{ 
    LogName = 'Security' 
    ID = 4688 
} | Select-Object TimeCreated, @{name='CommandLine';expression={ (([xml]$_.ToXml()).Event.EventData.Data | Where-Object { $_.Name -eq 'CommandLine' })."#text" }}