Powershell监控操作系统用户账号事件并预警

最新推荐文章于 2023-02-25 19:01:19 发布
置顶 最新推荐文章于 2023-02-25 19:01:19 发布
阅读量1.5k 收藏 3
点赞数 1
分类专栏： powershell 文章标签： 操作系统 powershell 邮件
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/iuxin/article/details/11595731
版权 
 
#
# 操作系统账号事件（登录、注销、新增、删除、软件安装）
# 主函数 Main
# @param string $str not null
# @param string $code not null
# 
# Description：
# 设置登录事件的任务计划时，必须传递这两个参数
#

#region get-serverip 获取IP
function get-serverip
{
    $serverip=gwmi win32_networkadapterconfiguration | ?{$_.IPAddress -ne $null -and $_.dhcpenabled -eq $false -and {$_.IPEnabled}} | %{$_.IPAddress}
	if(($serverip.gettype()).isarray)
	{
	    return $serverip[0]
	}
	else
	{
	    return $serverip
	}
}
#endregion

#region Send-Mail 发送邮件
function Send-Mail($Subject,$Body)
{
    $password = ConvertTo-SecureString 'password' -AsPlainText -Force
    $Credential = New-Object System.Management.Automation.PSCredential('account',$password)
    $SmptServer="mail.xx.com.cn"
    $From='a@xx.com.cn'
    $To="test@xx.com.cn"
	
	#抄送
	#$Cc="cc@xx.com.cn"
    $encode=[System.Text.UTF8Encoding]::UTF8

    Send-MailMessage -SmtpServer $SmptServer -Credential $Credential -From $From -to $To -Encoding $Encode -Body $Body -Subject $Subject -Priority High -BodyAsHtml
}
#endregion

#region cut-string 裁剪字符串
function cut-string 
{
	param(
		$str,
		$start,
		$end
	)
	return $str.substring($str.indexof($start),$str.indexof($end)-$str.indexof($start))
}
#endregion

#region get_login_user 获取登录账户
#return string
function get_login_user
{
	$users=query user

	$lists=New-Object system.Collections.ArrayList

	for($i=1;$i -lt $users.Count;$i++)
	{
		$user = $users[$i] -replace('  ',' ')
		
		while($user.indexof('  ') -gt 0)
		{
			$user = $user -replace('  ',' ')
		}
		if($user.indexof(' ') -eq 0 -or $user.indexof('>') -eq 0)
		{
			$user=$user.substring(1)
		}
		$user=$user -split(' ')
		
		$list=New-Object psobject
		#$time=$user[5]+" "+$user[6]

		Add-Member -Name name -Value $user[0] -MemberType NoteProperty -InputObject $list
		Add-Member -Name status -Value $user[3] -MemberType NoteProperty -InputObject $list
		#Add-Member -Name time -Value $time -MemberType NoteProperty -InputObject $list
		$lists +=@($list)
	}

	$loginUser = $lists | ?{$_.status -eq '运行中'} | select name
	foreach($userName in $loginUser)
	{	
		if($userNames -eq $null)
		{
			$userNames=$userName.name
		}
		else
		{
			$userNames=$userNames + ',' + $userName.name
		}
	}
	return $userNames
}
#endregion

#region Login-Succ-Notice 成功登录事件
function Login-Succ-Notice
{
	$loginInfo=Get-WinEvent -logname security -maxevents 10 | ? {$_.id -eq 4624} | select timecreated,message
	if($loginInfo -eq $null)
	{
		break
	}
	if(($loginInfo.gettype()).isarray)
	{
		$time=$loginInfo[0].timecreated
		$message=$loginInfo[0].message
	}
	else
	{
		$time=$loginInfo.timecreated
		$message=$loginInfo.message
	}
	
	if($code -eq 1)
	{
		$loginType=cut-string $message '登录类型:' '新登录:'
		$loginType=$loginType -replace('登录类型:','')
		$loginType=$loginType -replace('			','')
		if($loginType -eq 4)
		{
			break
		}
	}
	
	$processInfo=cut-string $message '进程名:' '网络信息:'
	$processInfo=$processInfo -replace('进程名:		','')
	
	$message=cut-string $message '新登录' '详细身份验证信息'
	$loginName=cut-string $message '帐户名:' '帐户域:'
	$loginName=$loginName -replace('帐户名:','')
	
	$loginIp=cut-string $message '源网络地址:' '源端口:'
	$loginIp=$loginIp -replace('源网络地址:','')
	
	$ip=get-serverip
	$loginedName=get_login_user
	$Body="<table width='700' border='1' cellpadding='0' cellspacing='0' style='font-size:13px;'>
  <tr  style='background:#39F'>
  	<td>服务器</td>
    <td>登录账号</td>
	<td>进程</td>
    <td>登录时间</td>
	<td>客户端IP</td>
    <td>已登录账号</td>
  </tr>
  <tr>
    <td>$ip</td>
    <td>$loginName</td>
	<td>$processInfo</td>
    <td>$time</td>
    <td>$loginIp</td>
	<td>$loginedName</td>
  </tr>
</table>"
	try
	{
		Send-Mail "Login on $ip" $Body
	}
	catch
	{
		ac -Path c:\UserNotice.log -Value "[ $time Login] $error[0]"
	}
}
#endregion

#region Cancel-Succ-Notice 注销登录事件
function Cancel-Succ-Notice
{
	$cancelInfo=Get-WinEvent -logname security -maxevents 10 | ? {$_.id -eq 4634} | select timecreated,message
	if($cancelInfo -eq $null)
	{
		break
	}
	if(($cancelInfo.gettype()).isarray)
	{
		$time=$cancelInfo[0].timecreated
		$message=$cancelInfo[0].message
	}
	else
	{
		$time=$cancelInfo.timecreated
		$message=$cancelInfo.message
	}
	$cancelName=cut-string $message '帐户名:' '帐户域:'
	$cancelName=$cancelName -replace('帐户名:','')
	
	$ip=get-serverip
	$loginedName=get_login_user
	$Body="<table width='700' border='1' cellpadding='0' cellspacing='0' style='font-size:13px;'>
  <tr  style='background:#39F'>
  	<td>服务器</td>
    <td>注销账号</td>
    <td>注销时间</td>
    <td>未注销账号</td>
  </tr>
  <tr>
    <td>$ip</td>
    <td>$cancelName</td>
    <td>$time</td>
	<td>$loginedName</td>
  </tr>
</table>"
	try
	{
		Send-Mail "Cancel on $ip" $Body
	}
	catch
	{
		ac -Path c:\UserNotice.log -Value "[ $time Cancel] $error[0]"
	}
}
#endregion

#region Create-User-Notice 新增账号事件
function Create-User-Notice
{
    $userinfo=Get-WinEvent -logname security -maxevents 10 | ? {$_.id -eq 4722} | select timecreated,message
	if($userinfo -eq $null)
	{
		break
	}
	if(($userinfo.gettype()).isarray)
	{
		$time=$userinfo[0].timecreated
		$message=$userinfo[0].message
	}
	else
	{
		$time=$userinfo.timecreated
		$message=$userinfo.message
	}
	$operateUser=cut-string $message '主题:' '目标帐户:'
	$operateUser=cut-string $operateUser '帐户名:' '帐户域:'
	$operateUser=$operateUser -replace('帐户名:','')
	
	$addUser=$message.substring($message.indexof('目标帐户:'))
	$addUser=cut-string $addUser '帐户名:' '帐户域:'
	$addUser=$addUser -replace('帐户名:','')
	
	$ip=get-serverip
	$loginedUser=get_login_user
	
	$Body="<table width='700' border='1' cellpadding='0' cellspacing='0' style='font-size:13px;'>
  <tr  style='background:#39F'>
  	<td>服务器</td>
    <td>操作账号</td>
    <td>被添加账号</td>
    <td>操作时间</td>
	<td>已登录账号</td>
  </tr>
  <tr>
    <td>$ip</td>
    <td>$operateUser</td>
    <td>$addUser</td>
	<td>$time</td>
	<td>$loginedUser</td>
  </tr>
</table>"
	try
	{
		Send-Mail "AddUser on $ip" $Body
	}
	catch
	{
		ac -Path c:\UserNotice.log -Value "[ $time AddUser] $error[0]"
	}
}
#endregion

#region Delete-User-Notice 删除账号事件
function Delete-User-Notice{

	$userInfo=Get-WinEvent -logname security -maxevents 10 | ? {$_.id -eq 4726} | select timecreated,message
	if($userinfo -eq $null)
	{
		break
	}
	if(($userinfo.gettype()).isarray)
	{
		$time=$userinfo[0].timecreated
		$message=$userinfo[0].message
	}
	else
	{
		$time=$userinfo.timecreated
		$message=$userinfo.message
	}
	$ip=get-serverip
	$loginedUser=get_login_user
	
	$operateUser=cut-string $message '主题:' '目标帐户:'
	$operateUser=cut-string $operateUser '帐户名:' '帐户域:'
	$operateUser=$operateUser -replace('帐户名:','')
	$delUser=$message.substring($message.indexof('目标帐户:'))
	$delUser=cut-string $delUser '帐户名:' '帐户域:'
	$delUser=$delUser -replace('帐户名:','')
	
	$Body="<table width='700' border='1' cellpadding='0' cellspacing='0' style='font-size:13px;'>
  <tr  style='background:#39F'>
  	<td>服务器</td>
    <td>操作账号</td>
    <td>被删除账号</td>
    <td>操作时间</td>
	<td>已登录账号</td>
  </tr>
  <tr>
    <td>$ip</td>
    <td>$operateUser</td>
    <td>$delUser</td>
	<td>$time</td>
	<td>$loginedUser</td>
  </tr>
</table>"
	try
	{
		Send-Mail "Delete on $ip" $Body
	}
	catch
	{
		ac -Path c:\UserNotice.log -Value "[ $time Delete] $error[0]"
	}
}
#endregion

#region Software-Setup-Notice 软件安装事件
function Software-Setup-Notice
{
	$softinfo=Get-WinEvent -logname setup -maxevents 10 | ? {$_.id -eq 1610} | select timecreated,message
	if($softinfo -eq $null)
	{
		break
	}
	if(($softinfo.gettype()).isarray)
	{
		$time=$softinfo[0].timecreated
		$time=$softinfo[0].tostring()
		$message=$softinfo[0].message
	}
	else
	{
		$time=$softinfo.timecreated
		$time=$time.tostring()
		$message=$softinfo.message
	}
	$ip=get-serverip
	$loginedUser=get_login_user
	
	$Body="<table width='700' border='1' cellpadding='0' cellspacing='0' style='font-size:13px;'>
  <tr  style='background:#39F'>
  	<td>服务器</td>
    <td>已登录账号</td>
    <td>安装时间</td>
    <td>安装信息</td>
  </tr>
  <tr>
    <td>$ip</td>
    <td>$loginedUser</td>
    <td>$time</td>
	<td>$message</td>
  </tr>
</table>"

	try
	{
		Send-Mail 'Setup on $ip' $Body
	}
	catch
	{
		ac -Path c:\UserNotice.log -Value "[ $time Setup] $error[0]"
	}
}
#endregion

#region Main 入口函数
function Main{

	param(
	$str,
	$script:code
	)
	
	if($str -eq $null)
	{
		Write-Warning 参数丢失!
		sleep 2
		break
	}
	if($str -eq 'login')
	{
		Login-Succ-Notice
	}
	if($str -eq 'cancel')
	{
		Cancel-Succ-Notice
	}
	if($str -eq 'add')
	{
		Create-User-Notice
	}
	if($str -eq 'delete')
	{
		Delete-User-Notice
	}
	if($str -eq 'setup')
	{
		Software-Setup-Notice
	}
}
#endregion

main $args[0] $args[1]

我想趣玩
关注
  • 1
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
PowerShell监控——监控电脑屏幕操作记录
请大家直接把问题写在评论区或留言，不要只说一句"你好 或 在吗"，我会尽快回复的。
03-01 1906
目录 监控电脑屏幕？ 实现思路 1、通过windows脚本，一定时间间隔进行屏幕抓拍 2、脚本通过powershell语言实现 3、powershell为windows系统自带语言，可以无缝嵌入运行 4、所有抓拍的屏幕照片，按照时间排序，可以实现比较完整的用户操作监控。 PowerShell简介 如何使用PowerShell 监控屏幕脚本实现 监控电脑屏幕？ 如何实现对电脑屏幕及其操作的监控？ 对于屏幕的监控，一般都是针对windows操作系统 因为对于大部分Linux系统，都是无
Powershell管理系列（三十）PowerShell操作之统计邮箱的用户信息
weixin_33805743的博客
11-21 760
用户需要统计邮箱用户的具体信息，如登陆名，邮箱地址，公司名，部门等，这些信息可以通过不通的命令查询到，我们如何通过脚本把这些信息汇总到一起，命令如下： 步骤1、在powershell命令行输入如下命令 Add-PSSnapin microsoft.exchange* $user=Get-User -ResultSize unlimited -Recipi...
如何监控linux服务器上所用用户账号 历史
weixin_34247032的博客
10-19 63
监控端工具 ansible计划任务*/10 * * * * /dev/shm/history_log.sh构建脚本vim /dev/shm/history_log.sh#!/bin/bashfunction history_log(){ local time time=`date -d "-10 min" "+%F %H:%M"` tim=${time%[0-9]} r...
利用Powershell进行监控程序，超时自动关闭
weixin_34166847的博客
01-04 705
由于系统需要，需要将一个应用程序监控起来，如果这个应用程序启动超过60秒，则自动将其关闭，在国外的网站上发现了这个PS，试了一下，可以满足需求。Register-WmiEvent -Query"SELECT * FROM __InstanceCreationEvent WITHIN 60 WHERE TargetInstanceisa 'Win32_Process'" -So...
powershell监测进程特定阀值
weixin_34072458的博客
05-30 175
Get-Process | Where {$_.WS -gt 50MB} | Sort WS –Descending 转载于:https://blog.51cto.com/fengc/1419766
PowerShell小技巧之定时记录操作系统行为
01-20
作为系统管理员，有些时候是需要记录系统中的其他用户的一些操作行为的，例如：当系统管理员怀疑系统存在漏洞，且已经有被植入后门...这个时候PowerShell这个vista及其之后Windows操作系统都自带的强大的命令行就有了
操作系统安全：常用的PowerShell命令.pptx
06-02
操作系统安全是IT领域中的核心议题，特别是在Windows操作系统中，管理员和安全专家经常使用PowerShell来管理系统的各种方面。PowerShell是一种强大的命令行工具，它基于.NET Framework，允许用户以对象形式处理数据...
python通过ssh-powershell监控windows的方法
09-22
主要介绍了python通过ssh-powershell监控windows的方法,涉及Python操作ssh-powershell的相关技巧,需要的朋友可以参考下
如何利用PowerShell监控Win-Server性能详解
01-10
前言 Q：如何系统层面的去监控...　如果是从知名度和用户的使用量来谈的话，PowerShell相较当下流行的一些面向对象的语言来说应该是逊色太多太多了，但是，作为一款系统内置的脚本语言，和Linux里的Shell一样，说其强大
Powershell获取登陆失败信息
第四类人
01-21 1136
转自：http://www.pstips.net/finding-logon-failures-2.html 每当用户使用了无效的凭证，将会生成一条安全日志。 下面这个函数实例能读到这些事件从安全日志（注意需要管理员权限），然后显示出所有错误登陆信息。 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 1
AD域密码过期邮件提醒
u011226383的博客
02-18 5500
本文使用了PowerShell脚本实现提醒功能。 一、因为发送邮件功能需要验证用于发送邮件的账号密码，为了安全使用下面的命令对输入的密码进行加密并保存至文本，这里需要注意的是生成的密码文件仅能在本机使用，拷贝到其他电脑会失效： Read-Host "Enter Password" -AsSecureString | ConvertFrom-SecureString | Out-File "D:\pwd.txt" 二、下面编写PowerShell脚本，这里需要注意的是邮件正文可以使用html代码编写，并
java 判断域密码到期提醒_AD密码过期查询
weixin_42535703的博客
02-16 1440
1、 查询单个账号是否过期：可以使用命令net user %USERNAME% /domain来进行查询。具体操作方式如下：2.查询所有活动的AD账号密码过期时间：在AD域控上运行powershell工具。第一步输入：$maxPasswordAge = (Get-ADDefaultDomainPasswordPolicy).MaxPasswordAge.Days第二步输入：Get-ADUser -...
windows本地用户密码_在Windows 7中使用本地用户和组来管理用户密码
culingluan4376的博客
09-19 592
windows本地用户密码If you have multiple user on your local machine or manage workstations in an office, you might want to enable or disable their password protection for added security. Today we take a look...
Powershell常用命令（下载、反弹、监听）
墨痕诉清风的博客
02-25 1920
【代码】Powershell常用命令（下载、反弹、监听）
powershell 针对日志的实例
lepton126的专栏
01-23 1318
C:\PowerShell\AppendixB> get-eventlog -list Max(K) Retain OverflowAction Entries Name ------ ------ -------------- ------- ---- 512 7 OverwriteOlder 486 Application 512 7 OverwriteOlder 0 Internet
PowerShell列出Windows系统上的所有用户帐户
allway2的博客
09-30 4659
Get-LocalUser PowerShell cmdlet列出设备上的所有本地用户。请记住，Active Directory域控制器没有本地用户帐户。 Get-LocalUser 如果要查看所有可用参数，请将结果通过管道传递到Select cmdlet： Get-LocalUser | Select * 运行不带任何参数的cmdlet将返回所有帐户，但是您也可以添加-Name或-SID参数以返回有关特定帐户的信息。以下命令返回带有安全标识符（SID）S-1-5-2的用户帐户。 ...
使用Powershell对目标进行屏幕监控
Fly_鹏程万里
05-24 2512
0x00前言Nishang是基于PowerShell的渗透测试专用工具。集成了框架、脚本和各种payload。这些脚本是由Nishang的作者在真实渗透测试过程中有感而发编写的，具有实战价值。包括了下载和执行、键盘记录、dns、延时命令等脚本。今天要给大家介绍的是如何通过powershell对目标的屏幕进行实时监控。脚本下载地址如下:https://raw.githubusercontent.co...
powershell获取操作系统os信息
最新发布
06-28
可以使用以下命令获取操作系统...该命令使用了 `Get-CimInstance` 命令来获取 `Win32_OperatingSystem` 类的实例，然后使用 `Select-Object` 命令选择需要的属性，包括操作系统名称、版本、架构、构建号和注册用户。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值