Paul Troncone and Carl Albing Cybersecurity Ops with bash Attack, Defend, and Analyze from the Command Line

Глава 5. Сбор информации
75
аргументом..Если.в.командной.строке.не.было.указано.никакого.значения,.вы-
ражение.внутри.фигурных.скобок.вернет.значение.по.умолчанию..Значение.по.
умолчанию.указывается.справа.от.знака.минус..Мы.используем.фигурные.скобки.
вокруг.
SYSTEM
,.потому.что.
_logs
.в.противном.случае.считался.бы.частью.имени.
переменной.

.Добавление.параметра.
-p
.для.команды.
mkdir
.приводит.к.созданию.всех.указан-
ных.каталогов..Сообщение.об.ошибке.не.будет.выдано,.даже.если.такой.каталог.
уже.существует..В.следующей.строке.мы.вызываем.команду.
cd
,.чтобы.перейти.
в.созданный.каталог.и.сделать.его.текущим,.где.будут.сохранены.файлы.журна-
ла..Если.команда.
cd
.не.будет.выполнена,.программа.завершит.работу,.выдав.код.
ошибки.

.Здесь.мы.вызываем.команду.
wevtutil
.
el
,.чтобы.перечислить.все.возможные.
файлы.журнала..Вывод.передается.в.цикл.
while
,.который.за.раз.будет.читать.одну.
строку.(одно.имя.файла.журнала).

.Поскольку.этот.скрипт.выполняется.в.системе.Windows,.каждая.строка,.на-
печатанная.
wevtutil
,.заканчивается.символом.новой.строки.(
\n
).и.символом.
возврата.(
\r
)..Мы.удаляем.символ.из.правой.части.строки.с.помощью.оператора.
%
..
Чтобы.указать.(непечатаемый).возвращаемый.символ,.мы.используем.конструк-
цию.
$'string'
,.которая.заменяет.произвольные.символы.обратного.слеша.непе-
чатаемыми.символами.(как.определено.в.стандарте.ANSI.C)..Таким.образом,.два.
символа.
\r
.заменяются.возвращаемым.символом.ASCII.13.

.Здесь.мы.повторяем.имя.файла,.чтобы.указать.пользователю.на.ход.выполнения.
процесса.и.напомнить,.какой.журнал.в.настоящее.время.извлекается.

.Чтобы.задать.имя.файла,.в.котором.
wevtutil
.должен.сохранить.свой.вывод.
(файл.журнала),.мы.делаем.два.изменения.в.имени..Во-первых,.поскольку.имя.
журнала,.как.указано,.может.иметь.пробелы,.заменяем.любой.пробел.символом.
подчеркивания..Хотя.это.и.не.обязательно,.подчеркивание.позволяет.избежать.
необходимости.ставить.кавычки.при.использовании.имени.файла..В.общем.случае.
синтаксис.для.получения.значения.
VAR
.с.заменой.
old
.на.
new
.будет.следующим:.
${VERY/old/new}
..Используя.двойной.слеш,.
${VAR//old/new}
,.мы.проводим.замену.
всех.вхождений,.а.не.только.первого.
Распространенной ошибкой будет вариант ${VAR/old/new/}. Конечный слеш 
не является частью синтаксиса, и, если будет выполнена подстановка, он просто 
окажется добавлен в результирующую строку. Например, если VAR=embolden, 
то ${VAR/old/new/} вернет embnew/en.

---

76