Windows 取证55 条

PowerShell 控制台历史

PSReadLine 把交互命令写入历史文件：能还原操作者在控制台敲过的命令序列，含时间辅助列。

用途	交互命令级复原
位置	AppData/Roaming/Microsoft/Windows/PowerShell/PSReadLine/ConsoleHost_history.txt

读取

Get-Content (Join-Path $env:APPDATA 'Microsoft/Windows/PowerShell/PSReadLine/ConsoleHost_history.txt') -Tail 60

与 4104 脚本块日志拼接：一个偏交互，一个偏执行。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌