Skip to content
WMIparser

Series

Fondamentaux du dépôt WMI

3 posts in this series. Read them in order or jump to any one.

  1. Persistance WMI par abonnement aux événements expliquée

    Persistance WMI : fonctionnement de __EventFilter, des consommateurs et de __FilterToConsumerBinding, où ils sont stockés et comment les détecter.

  2. Au cœur d'OBJECTS.DATA : analyse forensique du dépôt WMI

    Comment le dépôt CIM de WMI stocke ses objets : pages d'OBJECTS.DATA, clés d'INDEX.BTR, fichiers MAPPING, définitions de classes, instances et hachages.

  3. Collecter le dépôt WMI pour l'analyse forensique

    Où se trouve le dépôt WMI et comment copier OBJECTS.DATA, INDEX.BTR et les fichiers MAPPING : cliché instantané, cible WBEM de KAPE, Velociraptor ou image.

All posts in this series

Persistance WMI par abonnement aux événements expliquée
Persistance WMI : fonctionnement de __EventFilter, des consommateurs et de __FilterToConsumerBinding, où ils sont stockés et comment les détecter.
wmipersistencedfirt1546-003
Au cœur d'OBJECTS.DATA : analyse forensique du dépôt WMI
Comment le dépôt CIM de WMI stocke ses objets : pages d'OBJECTS.DATA, clés d'INDEX.BTR, fichiers MAPPING, définitions de classes, instances et hachages.
wmicim-repositoryobjects-datadfir
Collecter le dépôt WMI pour l'analyse forensique
Où se trouve le dépôt WMI et comment copier OBJECTS.DATA, INDEX.BTR et les fichiers MAPPING : cliché instantané, cible WBEM de KAPE, Velociraptor ou image.
wmiacquisitionkapevelociraptor