Set-Content, Out-File ve diğerleri

Powershell'de dosyaya yazmaya yarayan birkaç farklı cmdlet/operatör var:

• Set-Content
• Add-Content
• Out-File
• > ve >> operatörleri
• Tee-Object
• Export-CSV, her ne kadar düz metin olmasa da

Bunlardak ilk üçü en sık kullandıklarım. Aralarında bazı farklar var.

Set-Content ve Add-Content gibi komutların alias'ları var. sc ve ac işleri kolaylaştırır. Out-File için bir alias yok. Kendi aliasımızı oluşturabiliriz.

New-Alias -Name of -Value Out-File

Bu komutların tümü, dosya yoksa oluşturur.

Set-Content verilen dosyanın içeriğini tamamen değiştirir. Add-Content ekleme yapar. Out-File varsayılan olarak dosyanın içeriğini değiştirir (üzerine yazar) ama -Append parametresi ile kullanıldığında ekleme yapar, verileri silmez.

Set-Content ve Add-Content varsayılan kodlama ANSI kullanır. Out-File ise UTF16LE kullanır. Powershell 7'de ise hepsi UTF-8 kullanır, dosya başına BOM koymaz.

Set-Content ve Add-Content pipeline üzerinden gelen nesneyi dosyaya yazarken dönüşüm kullanmaz. Şunun gibi bir komut ile dosyaya yazılınca

Get-Process notepad | Set-Content D:\notepad-surecleri.txt

içinde sadece Get-Process cmdlet'inin döndüğü System.Diagnostics.Process (Notepad) yazar. Ama

Get-Process notepad | Out-File D:\notepad-surecleri.txt

komutu, ekranda görüldüğü gibi process bilgilerini yazar:

Handles  NPM(K)    PM(K)      WS(K)     CPU(s)     Id  SI ProcessName
-------  ------    -----      -----     ------     --  -- -----------
   1256      43   116408      86932       7,61   3564   1 Notepad

Powershell'de de geçerli olan akış yönlendirme operatörleri > ve >> Out-File gibi çalışıyorlar. > dosyanın üzerine yazarken, >> ekleme yapıyor.

Get-Process notepad > :\notepad-surecleri.txt

Linux'ta kullanılan tee komutunun eşdeğeri olan Tee-Object'in alias'ı da tee. Bu cmdlet de Out-File gibi davranıyor.

Get-Process notepad | Tee-Object D:\notepad-surecleri.txt

Export-Csv de yazarken ANSI encoding kullanır. Türkçe karakterler yazılacaksa -Encoding parametresi ile UTF8 belirtilmeli. Bu komut zaten formatlanmış veri yazdığı için

Get-Process notepad | Export-Csv D:\notepad-surecleri.csv

gibi bir komut ile yazılan veri varsayılan olarak virgülle ayrılmış (-Delimiter ile değiştirilebilir) alanlar şeklinde olur. Ama Out-File gibi ekranda gözükenleri de yazmaz, nesnenin bütün alanlarını yazar.

PDF dosyalarında zararlı kod analizi

Epostalar ile her gün çeşitli zararlı kodlar geliyor. Bunları açmadan (çift tıklayıp ilgili program ile görüntülenmesini sağlamadan) içeriğinde zararlı kodlar olup olmadığını anlayabilir miyim? Şu sayfadaki bilgiler hoşuma gitti, paylaşmak istedim.

PDF dosya yapısı şu şekilde tarif edilmiş:

Başlık

Gördüğüğüm kadarıyla tek satırlık, % işareti ile başlayıp dosya sürümünü gösteren bir veri. 

%PDF-1.7

Gövde

Belgenin içinde yer alan bir dizi nesnenin listelendiği bölüm. Şu şekilde bir yapı:

1 0 obj
...
2 0 obj
...
3 0 obj
...

Çapraz Başvuru

Belge içinde farklı nesnelerin konumlarının yer aldığı bölüm. xref anahtar kelimesi ile başlayan şöyle bir yapı:

xref
...

Son bölüm

Belgenin kapanışının yapıldığı bölüm. trailer anahtar kelimesi ile başlıyor. Birden fazla trailer olabiliyor. En sonda da %%EOF gibi bir son bölüm oluyor.

trailer
...
%%OEF 

Tehlikeli olabilecek bölümler

/JavaScript or /JS: Belgede javascript kodu olduğunu gösterir. Bu kod belge açıldığında çalışabilir.


/Names: Dosyanın bir eki veya nesnesi olduğunu gösterir.


/OpenAction or /AA (Additional Action): Dosyanın otomatik bazı kodlar/nesneler çalıştırabileceğini gösterir.


/EmbeddedFile: Bu da dosyanın bir gömülü script/kod/dosya içerdiğini gösterir. 


/URI or /SubmitForm: Dosyanın başka bir web adresine erişebileceğini veya harici HTML-form öğesine veri gönderebileceğini (post) gösterir


/Launch: PDF görüntüleyicinin başka bir program veya dosyayı çalıştırmasını ister. Dosyaya gömülü olmayan harici dosya veya programlar için.

Bunların herhangi biri net bir zararlı kod olduğunu tek başına göstermeyebilir. Ama bir /URI olması ve bunun dosya açıldığında tetiklenmesi, uzak bir komuta kontrol merkezindeki sunucudan zararlı bir kod indirdiğinin göstergesi olabilir.

İnceleme araçları

PDF dosyalarının meta verilerini incelemek için exiftool faydalı olabilir. Aracın geliştiricisi Phil Harvey. winget ile indirilebilecek kopya Oliver Betz'in paketlemesi gibi.

exiftool p.pdf

ExifTool Version Number         : 13.59
File Name                       : p.pdf
Directory                       : .
File Size                       : 188 kB
File Modification Date/Time     : 2026:11:06 15:32:35+03:00
File Access Date/Time           : 2026:11:06 17:50:34+03:00
File Creation Date/Time         : 2026:11:06 15:32:36+03:00
File Permissions                : -rw-rw-rw-
File Type                       : PDF
File Type Extension             : pdf
MIME Type                       : application/pdf
PDF Version                     : 1.7
Linearized                      : No
Page Count                      : 1
Language                        : en
Tagged PDF                      : Yes
XMP Toolkit                     : 3.1-701
Producer                        : Microsoft® Word 2024
Creator                         : Heritage Abajesude
Creator Tool                    : Microsoft® Word 2024
Create Date                     : 2026:11:05 11:12:02+01:00
Modify Date                     : 2026:11:05 11:12:02+01:00
Document ID                     : uuid:FF8B01BC-ED4C-4316-842C-634C4A670C36
Instance ID                     : uuid:FF8B01BC-ED4C-4316-842C-634C4A670C36
Author                          : Heritage Abajesude

Sysinternals strings aracı da pdf dosyasının içindeki yapının çalıştırılmadan görüntülenmesini sağlayabilir.

strings64 .\p.pdf

Powershell ile komutun çıktısı içinde aramalar yapılabilir, sonuçlar filtrelenebilir:

strings64 .\p.pdf | sls "\d 0 obj"

Bir de strings'e satır numarası ekleyerek (dosyanın içindeki offset değerleri değil, sadece strings64 komutunun çıktısının içindeki satır numarası), bulunan ilgili satırın 5 öncesi ve 5 sonrasını da dahil ederek arama genişletilebilir.

$satir=0;strings64 .\p.pdf | % {"$satir $_";$satir++} | sls "/UR|/NAME|/JAVAS|/JS|/EMBED|/OpenAc|/AA|/Launch|eval|export" -context 5,5

Belgede dosyanın hash'inin hesaplanarak virustotal.com gibi bir sitede aratılması da önerilmiş.

Get-FileHash -path .pdf -Algorithm SHA256

Sıkça kullanılan pdfid.py ve pdfparser.py gibi araçlardan faydalanılabileceği de anlatılmış. Bu araçlar

pip install pdfid

gibi araçlarla edinilebileceği gibi

git clone https://github.com/DidierStevens/DidierStevensSuite.git

şeklinde Didier Stevens'ın Github'dan reposundan da indirilebilir

Riskli bölümler hakkında bir özet almak için pdfid.py kullanılabilir

pdfid.py supheli.pdf

 PDF Header: %PDF-1.4
 obj                   23
 endobj                23
 stream                 5
 endstream              5
 xref                   1
 trailer                1
 startxref              1
 /Page                  1
 /URI                   2

Ama bunların hiçbiri, dosyanın aslında içinde kullanıcıyı yanlış yönlendirmek için ne gibi bir kurmaca hazırladığını göstermez. Açmadan dosyanın için görmek için pdf'i bir resim dosyasına dönüştürecek araçlar kullanılabilir. Windows tarafında:

winget install --id oschwartz10612.Poppler -e

Veya linux tarafında:

sudo apt install poppler-utils

sudo apt install mupdf-tools

Örneğin aşağıdaki komutlar, supheli.pdf dosyasından supheli-1.png, supheli-2.png gibi resim dosyaları üretir:

pdftoppm -png -r 100 -f 1 -l 1 supheli.pdf sayfa

mutool draw -o sayfa-%d.png -r 100 supheli.pdf 1

Ama bu işlemlerin hepsinin bir sanal makinede yapılması önemle tavsiye edilir. PDF'i resme dönüştürecek araç bile istenmeden, sinsice tasarlanmış bir tuzak ile bazı mekanizmaları tetikleyebilir, zararlı yazılımı aktive edebilir.

---
[1] https://zeltser.com/analyzing-malicious-documents
[2] https://sansorg.egnyte.com/dl/YrwOdFIm1I
[3] https://amr-git-dot.github.io/malware%20analysis/Mal-Docs/
[3] https://medium.com/@alaamansouraliahmed/is-that-pdf-safe-how-to-spot-malicious-documents-before-you-open-them-de890ca10eac

Out-Gridview

Powershell'de bir cmdlet'in sonuçlarını kendine özgü başka bir pencerede tablo biçiminde görüntülemeye yarayan bir aracı var. En basit kullanım ile

Get-Process | Out-Gridview

Alias'larla kullanmayı istersek

ps | ogv

Birden fazla grid kullandıysam ve arka planda açık kaldıysa hangi tablonun hangi komutun çıktısı olduğunu karıştırmamak için başlık eklenebilir

Invoke-Command -Computername sunucu01 -ScriptBlock {Get-Service | Where-Object {$_.Status -eq "Running"}} | Out-Gridview -Title "Sunucu01 - çalışan hizmetler"

icm -cn sunucu01 {gsv | ? Status -eq "Running" | ogv -t "Sunucu01 - çalışan hizmetler"

Grid nesnesi sütunlara göre sıralama ve filtreleme yapabilen yetenekli bir nesne. Burada gerekli işlemleri yapıp bir veya daha fazla satırı "seçip" çıktı dışarıya verilebilir (-PassThru).

Get-Process | Out-Gridview -Title "Süreçler" -PassThru

ps | ogv -t "Süreçler" -p

PassThru'ya çok benzeyen bir de OutputMode parametresi var. Tek farkı tekli/çoklu seçim yapmayı mümkün kılması.

Get-Process | Out-Gridview -Title "Süreçler" -OutputMode Multiple

ps | ogv -t "Süreçler" -o m

Bu özellikler farklı amaçlarla kullanılabilir. Örneğin, hem ekranda gösterip hem de bir dosyaya yazmak:

Get-Process | Out-Gridview -Title "Süreçler" -PassThru | Export-Csv -Path "D:\surecler.csv"

ps | ogv -t "Süreçler" -p | epcsv D:\surecler.csv

Ya da eski dosyaları silmek:

Get-ChildItem -Path D:\dosyalar | Out-GridView -Title "Dosyalar" -OutputMode Multiple | Foreach-Object {Remove-Item $_}

gci | ogv -t "Dosyalar" -o m | % {ri $_}

Sanki

-PassThru

ile

-OutputMode Multiple

aynı şey gibi.

Fedora 44 ve dnf5

Fedora 44'ü terminalden 45'e yükseltmek için uyguladığım adımlar:

Önce 44 içinde en son güncelleştirmelerin yüklü olduğundan emin oldum.

sudo dnf5 upgrade

Yükseltme öncesinde sürüm sorunlarının olmadığından emin oldum.

sudo dnf5 distro-sync --refresh

sorun ile karşılaşılırsa bu satırda --allowerasing gerekebilir. Silme olacak durumlarda komutu işletmeden önce --assumeno kullanmak mantıklı olur.

yerel paket veritabanındaki tutarsızlıkları kontrol etmek için

sudo dnf5 check

kullanılabilir.  Eksik bağımlılıklar ve sürüm uyuşmazlıkları için --dependencies --obsoleted parametreleri eklenebilir.

İndirmelere başlamadan önce kök (ve eğer ayrı bir disk bölümündeyse /var) disk bölümünün boyutunu kontrol edip en az 3 GB boş yer olduğundan emin oldum.

df -h / /var

Sonrasında indirmeye başladım.

sudo dnf5 system-upgrade download --releasever=45

İndirme bittiğinde kurmak için

sudo dnf5 offline reboot

kullandım ve herşey bitip sistem açıldıntan sonra indirilmiş dosyaları kaldırmak için

sudo dnf5 offline clean

satırı ile temizlik yaptım.

Önceki komutun parametresini kullanmak

Bash'in klavye kısayollarını incelerken çok faydalı bir kısayol buldum.

Diyelim ki profil klasörümdeyim ve Belgelerim klasöründe bir alt klasör oluşturacağım.

mkdir ./Belgelerim/veri

sonraki adımda da bu klasöre geçmek istiyorum. Bunun için yapmam gereken 

cd ./Belgelerim/veri

ama cd komutundan sonra ./Belgelerim/veri parametresini tekrar yazmak istemiyorum. Bunun için Alt+. kısayolu (alt ve nokta) var. Sadece cd yazdıktan sonra Alt ve . (nokta) kombinasyonunu kullanarak bir önceki komutun parametresini almak mümkün.

Bunu powershell'de yapmam mümkün mü diye merak ettim. Gördüm ki PSReadline'ın YankLastArg işlemi için de aynı Alt+. klavye kısayolu oluşturulmuş ve o da  aynı işi yapıyor:

Get-PSReadLineKeyHandler | ? Function -eq "YankLastArg"

Key   Function    Description
---   --------    -----------
Alt+. YankLastArg Copy the text of the last argument to the input

Powershell betiklerine kullanıcı adı ve parola vermenin yolları

Bir yol Get-Credential cmdlet'i ile.

$crd=Get-Credential "ETKIALANI\kullaniciadi"

Bu satır sonunda $crd değişkeninde bir kullanıcı adı ve parola bilgisi oluştu. Bunu örneğin

Invoke-Command -computername uzakpc -ScriptBlock { ... } -Credential $crd

şeklinde kullanabiliriz.

Bu $crd değişkeninin tipine baktığımda

$crd | Get-Member

Typename olarak System.Management.Automation.PSCredential gözüküyor. Doğrudan bunu New-Object cmdlet'iyle birlikte kullanabilirim:

$crd = New-Object System.Management.Automation.PSCredential -ArgumentList $username, $password

Bu da aynı işi görür.

Ev klasörü konumunu değiştirmek

Linux'ta olduğu gibi Powershell'de de tilda "~" karakteri ev konumunu ($HOME) gösteriyor. cd komutuyla doğrudan C:\Users\metin konumuna gitmek mümkün

cd ~

Ben ev konumumu C:\users\metin klasöründen başka bir yer olmasını istiyorum. Ama oturum açtığımda profil verilerimin depolanacağı C:\Users\metin klasörünün değişmesini istemiyorum. Sadece powershell'de tilda karakteri ile ifade edilen yerin D:\klasor gibi bir yer olmasını istiyorum.

Görünüşe göre bunu $HOME değişkeninin içeriğini değiştirerek yapamıyorum, çünkü bu değişken değiştirilemeyen, read-only bir yapıda.

Şurada ve burada gördüm ki, Get-PSDrive ile Filesystem sağlayıcısının Home adında bir alanı var ve bu değiştirilebiliyor.

(Get-PSProvider FileSystem).Home = "D:\klasor"

Bunu $profile dosyamın içine koyarsam istediğim olur.