Skip to content
WMIparser

Series

Grundlagen des WMI-Repositorys

3 posts in this series. Read them in order or jump to any one.

  1. WMI-Persistenz über Event Subscriptions erklärt

    So funktioniert WMI-Persistenz über Event Subscriptions: __EventFilter, Event Consumer und __FilterToConsumerBinding, ihr Speicherort und wie Sie sie finden.

  2. OBJECTS.DATA: forensische Analyse des WMI-Repositorys

    Wie das WMI-CIM-Repository Objekte speichert: Seiten in OBJECTS.DATA, INDEX.BTR-Schlüssel, die drei MAPPING-Dateien, Klassen, Instanzen und Namens-Hashes.

  3. WMI-Repository forensisch sichern: Schritt für Schritt

    Wo das WMI-Repository liegt und wie Sie OBJECTS.DATA, INDEX.BTR und die MAPPING-Dateien sicher kopieren: Schattenkopie, KAPE, Velociraptor oder Image.

All posts in this series

WMI-Persistenz über Event Subscriptions erklärt
So funktioniert WMI-Persistenz über Event Subscriptions: __EventFilter, Event Consumer und __FilterToConsumerBinding, ihr Speicherort und wie Sie sie finden.
wmipersistencedfirt1546-003
OBJECTS.DATA: forensische Analyse des WMI-Repositorys
Wie das WMI-CIM-Repository Objekte speichert: Seiten in OBJECTS.DATA, INDEX.BTR-Schlüssel, die drei MAPPING-Dateien, Klassen, Instanzen und Namens-Hashes.
wmicim-repositoryobjects-datadfir
WMI-Repository forensisch sichern: Schritt für Schritt
Wo das WMI-Repository liegt und wie Sie OBJECTS.DATA, INDEX.BTR und die MAPPING-Dateien sicher kopieren: Schattenkopie, KAPE, Velociraptor oder Image.
wmiacquisitionkapevelociraptor