포렌식/Analysis

PowerShell HIstory 파워쉘 명령어 기록

CHIqueen 2018. 9. 8. 17:14

파워쉘은 따로 사용자가 입력했던 명령어를 기록해 둔다.


경로는 %UserProfile%\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt 이다.


기록의 예외도 있다. cmd를 통해 실행한 명령어인 경우 기록이 되지 않는다.

예를 들어보자 shell을 통해 cmd /c powershell ls란 명령어를 치면 기록이 되지 않는다.