포렌식/Analysis
PowerShell HIstory 파워쉘 명령어 기록
CHIqueen
2018. 9. 8. 17:14
파워쉘은 따로 사용자가 입력했던 명령어를 기록해 둔다.
경로는 %UserProfile%\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt 이다.
기록의 예외도 있다. cmd를 통해 실행한 명령어인 경우 기록이 되지 않는다.
예를 들어보자 shell을 통해 cmd /c powershell ls란 명령어를 치면 기록이 되지 않는다.