天津网站制作机玩法部网站建设产品介绍

QA

Q	A
攻击者使用哪个 WMI 类来检索型号和制造商信息以进行虚拟化检测？	Win32_ComputerSystem
攻击者执行了哪个 WMI 查询来检索计算机的当前温度值？	SELECT CurrentTemperature FROM MSAcpi_ThermalZoneTemperature
攻击者加载了 PowerShell 脚本以检测虚拟化。脚本的函数名称是什么？	Get-VirtualizationStatus
上述脚本查询了哪个注册表项来检索用于虚拟化检测的服务详细信息？	HKLM:\SYSTEM\CurrentControlSet\Services
VM 检测脚本比较哪些进程以确定系统是否正在运行 VirtualBox？	VBoxService.exe, VBoxTray.exe
VM 检测脚本检测到了哪两个虚拟化平台？	VMware, VirtualBox

TASK1:hayabusa

https://github.com/Yamato-Security/hayabusa/releases/tag/v3.3.0

關鍵字搜尋：“Wmi”

$ hayabusa-3.3.0-win-x64.exe search -f "Microsoft-Windows-Powershell.evtx" -k "Wmi" -J -o "res.json"

Win32_ComputerSystem

TASK2

SELECT * FROM MSAcpi_ThermalZoneTemperature

TASK3

把 PowerShell 事件日誌轉成時間軸（Timeline）CSV 檔案

$ hayabusa-3.3.0-win-x64.exe csv-timeline -f "Windows-Powershell-Operational.evtx" -o "time.csv"

Check-VM

TASK4:虛擬化檢測的服務詳細

$ hayabusa-3.3.0-win-x64.exe search -f "Windows-Powershell-Operational.evtx" -k "HKLM" -J -o "hklm.json"

ControlSet001：系統控制組之一，Windows 通常會保存多組控制組（Control Sets），常見的有 ControlSet001、ControlSet002 等。

Services：包含所有 Windows 服務的設定資料。

HKLM:\SYSTEM\ControlSet001\Services

TASK5:VirtualBox

vboxservice.exe 和 vboxtray.exe 是 VirtualBox 虛擬機中安裝的服務和系統托盤程序，負責虛擬機與宿主機的整合功能，如時間同步和快捷操作，它們的存在通常用來判斷系統是否運行在 VirtualBox 虛擬環境中。

vboxservice.exe, vboxtray.exe

TASK6

Hyper-V, Vmware