脚本样本分析线索

脚本类样本易读：先看编码方式（-enc、base64、字符串拼接数组），再按解码链还原并逐段标注意图。

用途	脚本类样本快速还原
线索	编码与拼接 / 下载执行 / 计划任务注册

还原

grep -Eo 'powershell[^\n]{0,200}' script.ps1 | head
# base64 段单独解码后再审读

解码在只读沙箱进行，产物也算样本并计算哈希。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌