alphasec
PowerShell protip 003c
in 𝕏

Warto czasem spojrzeć, czy nie były podłączane podejrzane klawiatury

tty1 · powershell
PS> ls HKLM:\SYSTEM\CurrentControlSet\Enum\HID\*
#Windows#Powershell#BlueTeam#ThreatHunting

Przykładowy wynik:

PS C:\Users\drg> ls HKLM:\SYSTEM\CurrentControlSet\Enum\HID\*

    Hive: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\HID

Name                           Property
----                           --------
VID_03EB&PID_2422&MI_01
VID_2341&PID_8037&MI_02

PS C:\Users\drg>

Mówi nam to tyle, że zostały do tego komputera podłączone klawiatury producentów o ID 03EB oraz 2341 ( VID to Vendor ID czyli kod producenta, natomiast PID to Product ID - kod produktu). Pierwszym jest Atmel Corp. ( https://devicehunt.com/view/type/usb/vendor/03EB), a drugim Arduino SA. ( https://devicehunt.com/view/type/usb/vendor/2341). Obie firmy jednoznacznie kojarzą się z mikrokontrolerami i tak na Atmelu opiera się znany pewnie wszystkim Rubber Ducky, natomiast za pomocą Arduino bardzo łatwo zaprogramować chińskie odpowiedniki.

← poprzedni protip 003b ••• Wszystkie protipy następny → protip 003d
// subskrybuj

Nowe protipy prosto na maila.

Mięsiste jednolinijkowce i triki z prawdziwych zleceń. Zero spamu, zero teorii. Wypisujesz się jednym kliknięciem.

wersja newslettera: