35、受限语言模式下的 PowerShell 安全策略实现

于 2025-08-22 13:35:46 发布
阅读量74 收藏
点赞数
CC 4.0 BY-SA版权
分类专栏： 探索PowerShell自动化的新纪元 文章标签： PowerShell安全策略 受限语言模式 AppLocker
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/time3/article/details/150759225

受限语言模式下的 PowerShell 安全策略实现

1. PowerShell Protect 模块

可以将 PowerShell Protect 模块与受限语言模式（CLM）并行实施，以增强安全性。该模块有两个主要部分：
1. PowerShell cmdlets ：帮助创建和部署策略。
2. AMSI（反恶意软件扫描接口） ：检查预解析的 PowerShell 代码，防止恶意代码执行。

更多信息请参考：https://ironmansoftware.com/powershell-protect

2. 深入了解 Windows 锁定策略（WLDP）

PowerShell 使用 SystemPolicy 类依赖 Windows 锁定策略（WLDP）来实施 Windows 锁定策略、设备防护和受限语言模式。WLDP 有三个关键方法：
- GetSystemLockdownPolicy() ：PowerShell 用于检查系统锁定状态的顶级方法，会调用 GetLockdownPolicy() 和 GetDebugLockdownPolicy()，New - Object 用此方法验证批准的对象类型。
- GetLockdownPolicy(string path, SafeHandle handle) ：检索适用于文件的锁定策略，GetSystemLockdownPolicy() 和 ReadScriptContents() 方法会使用它。
- GetDebugLockdownPolicy(string path) ：检索 __PSLockdownPolicy 环境变量中启用的调试覆盖设置。若启用调试覆盖且 WLDP 策略已生效，系统会忽略该覆盖。

2.1 GetLockdownPolicy()

此方法是代码的主要部分，按以下顺序测试 WLDP 和 AppLocker 策略：
1. WLDP 文件策略
2. AppLocker 文件策略
3. 系统 WLDP 策略
4. 调试覆盖策略

2.2 GetWldpPolicy()

该方法调用并缓存 wldp.dll 中 WldpGetLockdownPolicy() 函数的结果，Windows Defender 应用程序控制（WDAC）使用 WLDP 定义配置状态。

2.3 GetAppLockerPolicy()

评估当前实施的系统和用户 AppLocker 策略，步骤如下：
1. 在用户的 %Temp% 目录中创建 AppLocker 测试文件名（.psd1 和 .psm1），若 %Temp% 目录不可访问，则尝试 \AppData\LocalLow\Temp。
2. 向调用者返回实施策略。

2.4 GetDebugLockdownPolicy()

这是用于调试目的的覆盖设置，包括：
- 宽松文件匹配 ：系统信任所有位于名为 ‘System32’ 目录中的脚本。
- __PSLockdownPolicy 环境变量 ：该变量的值会影响语言模式，适用于所有位于名为 ‘System32’ 的任何目录中的脚本，Contains() 方法允许在任何父目录或子目录中进行匹配。

2.4.1 __PSLockdownPolicy 环境变量

GetDebugLockdownPolicy(string path) 使用此变量进行调试，不建议在生产环境中使用。设置 _PSLockdownPolicy 为 0 不会覆盖现有的 WDAC 或 App Locker 策略。策略设置如下：
| 值 | 描述 |
| ---- | ---- |
| 0 | 未定义，不应用任何更改 |
| 4 | UMCI 强制实施，启用受限语言模式 |
| 8 | UMCI 审核，将 UMCI 策略设置为 ‘审核’，PowerShell 不会启用受限语言模式 |

以下是 WLDP 的 __PSLockdownPolicy 实现的源代码： 

internal static class WldpNativeConstants
{
    internal const uint WLDP_HOST_INFORMATION_REVISION = 0x00000001;

    internal const uint WLDP_LOCKDOWN_UNDEFINED = 0;
    internal const uint WLDP_LOCKDOWN_DEFINED_FLAG = 0x80000000;
    internal const uint WLDP_LOCKDOWN_SECUREBOOT_FLAG = 1;
    internal const uint WLDP_LOCKDOWN_DEBUGPOLICY_FLAG = 2;
    internal const uint WLDP_LOCKDOWN_UMCIENFORCE_FLAG = 4;
    internal const uint WLDP_LOCKDOWN_UMCIAUDIT_FLAG = 8;
}
private static SystemEnforcementMode GetLockdownPolicyForResult(
    uint pdwLockdownState)
{
    if ((pdwLockdownState & WldpNativeConstants.WLDP_LOCKDOWN_UMCIAUDIT_FLAG)
        == SystemPolicy.WldpNativeConstants.WLDP_LOCKDOWN_UMCIAUDIT_FLAG)
    {
        return SystemEnforcementMode.Audit;
    }
    else if ((pdwLockdownState &
              WldpNativeConstants.WLDP_LOCKDOWN_UMCIENFORCE_FLAG) ==
             WldpNativeConstants.WLDP_LOCKDOWN_UMCIENFORCE_FLAG)
    {
        return SystemEnforcementMode.Enforce;
    }
    else
    {
        return SystemEnforcementMode.None;
    }
}

3. 使用 AppLocker 脚本规则实施策略

3.1 简介

可以通过组策略在以下路径管理 AppLocker：
Computer Configuration\Windows Settings\Security Settings\Application Control Policies\App Locker

AppLocker 有五种规则定义类型：
1. 可执行规则 ：控制哪些可执行文件（ .exe, .com）可以或不可以运行。
2. Windows 安装程序规则 ：控制允许的安装包（ .msi, .msp, .mst）。
3. 脚本规则 ：定义允许的脚本格式（ .ps1, .bat, .cmd, .vbs, .js）和文件，PowerShell 模块文件（ .psm1）和 PowerShell 模块清单文件（ .psd1）不受影响。
4. DLL 规则 ：控制模块和库（ .dll, .ocx）可以运行的位置以及允许的用户，这些规则可能影响系统稳定性和性能。
5. 打包应用规则 ：控制哪些通用 Windows 平台（UWP）应用和安装程序可以运行。

必须在 AppLocker 属性中启用每种定义类型来配置和实施规则，DLL 规则可在高级选项卡中找到。AppLocker 使用允许列表方法，实施所有定义类型，支持策略 ‘审核’ 以在实施前测试策略定义，减少对用户的影响。

AppLocker 规则评估有三个主要条件，按最佳方法排序如下：
1. （推荐）发布者 ：代码签名的脚本是推荐选项，提供最大的灵活性和安全性。
2. 文件哈希 ：文件哈希可防止代码被修改，但文件更改时需要更改策略。
3. （不推荐）文件路径 ：规则应用取决于文件或目录路径或名称，此方法不能确保文件的完整性，因为没有机制测试文件的身份。

对 AppLocker 进行任何更改后，应运行 gpupdate /force 刷新组策略。

3.2 入门

3.2.1 启用 AppLocker 服务

在创建和配置规则之前，必须通过组策略在以下路径启用 ‘Application Identity’ Windows 服务：
Computer Configuration\Windows Settings\Security Settings\System Services\Application Identity

也可以手动启用该服务，使用 PowerShell 启用服务的步骤如下：
1. 以管理员身份启动会话。
2. 输入 Start - Service - Name 'Application Identity' 。

3.2.2 创建默认规则

首次启用 AppLocker 时，允许其创建默认规则。操作步骤如下：
1. 右键单击脚本规则，选择“创建默认规则”。

默认脚本规则如下：
1. 允许所有用户运行 “Program Files” 目录（由 %PROGRAM - FILES%* 路径变量定义）中的脚本。
2. 允许所有用户运行 “Windows” 目录（由 %WINDIR%* 路径变量定义）中的脚本。
3. 允许本地管理员运行所有脚本，使管理员能够继续维护/管理环境。

定义自定义规则后，应删除这些默认规则，以防止它们成为 “通用规则”。

3.2.3 自动生成规则

自动生成规则的过程如下：
1. 右键单击脚本规则，选择“自动生成规则…”。
2. 选择目标安全组。
3. 输入扫描目录路径。
4. 输入规则集名称。
5. 选择 “下一步 >”。
6. 确保选择以下设置：
- 为数字签名的文件创建发布者规则。
- 文件哈希：使用文件的哈希创建规则。
- 通过对相似文件进行分组减少创建的规则数量。
7. 选择 “下一步 >”。
8. 选择 “创建”。

3.2.4 创建自定义规则

创建自定义规则的步骤如下：
1. 右键单击脚本规则，选择“创建新规则”。
2. 选择 “下一步 >”。
3. 在操作中选择 “允许”。
4. 选择目标安全组。
5. 选择 “下一步 >”。
6. 选择主要条件（发布者、路径、文件哈希）。

3.2.4.1 发布者条件
  1. 在参考文件下，选择 “浏览…” 并定位 *.ps1 文件。
  2. 可以分配不同的安全级别，从最宽松（顶部）到最严格（底部），每个级别包含前一个级别的要求：
    • （最低）发布者：要求文件证书的颁发者符合当前值。
    • 产品名称：要求签名文件的产品名称符合当前值。
    • 文件名称：要求签名文件的文件描述符合当前值。
    • （最高）文件版本：要求签名文件的版本符合当前值，可选择更高或更低版本。
      可以通过选择 “使用自定义值” 进一步自定义字段，建议为内部自签名证书使用产品名称。
  3. 选择 “下一步 >”。
  4. 添加规则的任何例外，例外遵循 AppLocker 条件（文件、发布者、哈希）。
  5. 选择 “下一步 >”。
  6. 输入名称和（可选）描述，然后选择 “创建”。
3.2.4.2 路径条件
  1. 选择 “浏览文件…” 或 “浏览文件夹…” 并选择要添加的文件/目录。
  2. 选择 “下一步 >”。
  3. 添加规则的任何例外，例外遵循 AppLocker 条件（文件、发布者、哈希）。
  4. 输入名称和（可选）描述，然后选择 “创建”。
3.2.4.3 文件哈希条件
  1. 选择 “浏览文件…” 或 “浏览文件夹…” 并选择要添加的文件/目录，选择目录时，向导将枚举目录中的所有 *.ps1 文件，注意这不是递归搜索。
  2. 输入名称和（可选）描述，然后选择 “创建”。
3.2.5 启用审核

在实施策略之前，可以在不影响最终用户的情况下测试组织内的更改。AppLocker 在事件日志的 Application and Services Logs\Microsoft\Windows\AppLocker 下引发事件。启用策略审核的步骤如下：
1. 右键单击 AppLocker，选择 “属性”。
2. 启用脚本规则，选择 “仅审核”。
3. 选择 “应用” 和 “确定”。

3.2.6 启用策略实施

准备好后，实施 AppLocker 策略的步骤如下：
1. 右键单击 AppLocker，选择 “属性”。
2. 启用脚本规则，选择 “实施规则”。
3. 选择 “应用” 和 “确定”。

以下是 AppLocker 脚本规则操作的 mermaid 流程图： 

graph LR
    A[开始] --> B[启用 AppLocker 服务]
    B --> C{选择规则创建方式}
    C -->|默认规则| D[创建默认规则]
    C -->|自动生成| E[自动生成规则]
    C -->|自定义规则| F[创建自定义规则]
    D --> G[删除默认规则（自定义规则定义后）]
    E --> H[完成规则生成]
    F --> I{选择主要条件}
    I -->|发布者| J[按发布者条件创建规则]
    I -->|路径| K[按路径条件创建规则]
    I -->|文件哈希| L[按文件哈希条件创建规则]
    J --> M[完成规则创建]
    K --> M
    L --> M
    M --> N{选择操作}
    N -->|审核| O[启用审核]
    N -->|实施| P[启用策略实施]
    O --> Q[完成审核设置]
    P --> R[完成策略实施]

4. 使用 WDAC 实施策略

4.1 什么是 WDAC

WDAC 即 Windows Defender 应用程序控制策略，是在 Windows 10 桌面（1903）和 Server 2016 操作系统上与 Windows Defender 一起实施的策略框架。它曾被称为可配置代码完整性（CGI）和设备防护（DG）。当 WDAC 策略生效时，PowerShell 将以受限语言模式运行。

WDAC 支持 Windows 10 1903 及 Windows Server 2016 或更高版本。它在底层的功能与 AppLocker 相同，但不能使用 AppLocker 组策略编辑策略实施，而是使用 WLDP 查询状态。AppLocker 仅限于使用组策略的本地域中的本地端点，而 WDAC 可部署到云端点和本地端点，支持以下端点：
- 移动设备管理（MDM）解决方案 ：如 Microsoft Intune，仅支持 Windows 10 设备。
- Microsoft 端点配置管理器（MECM）
- 脚本解决方案
- 组策略

WDAC 是云设备的推荐部署方式。与 AppLocker 类似，在实施前必须启用策略审核，否则最终用户可能无法使用应用程序或程序。

4.2 使用 Microsoft Intune 部署 WDAC

4.2.1 先决条件
  • Intune 设置要求 ：
    • 企业移动性 + 安全性（EMS）/Intune 订阅
    • Office 365 订阅（适用于 Office 应用和应用保护策略管理的应用）
    • Apple APNs 证书（用于启用 iOS/iPadOS 设备平台管理）
    • Azure AD Connect（用于目录同步）
    • Intune 本地连接器（用于 Exchange 本地条件访问，如有需要）
    • Intune 证书连接器（用于 SCEP 证书部署，如有需要）
  • Intune 设备要求 ：Windows 10 桌面（1903 或更高版本）
4.2.2 创建设备策略

创建设备策略的步骤如下：
1. 打开 URL：https://endpoint.microsoft.com/。
2. 在左侧窗格中，选择 “设备”。
3. 在 “策略” 下，选择 “配置文件”。
4. 选择 “创建配置文件”。
5. 在 “平台” 下，选择 “Windows 10 及更高版本”。
6. 在 “配置文件类型” 下，选择 “模板”。
7. 选择 “端点保护”。
8. 选择 “创建”。
9. 输入名称和描述，然后按 “下一步”。
10. 选择 “Microsoft Defender 应用程序控制”。
11. 选择 “应用程序控制代码完整性策略”。
12. 根据类型，选择 “仅审核” 以审核策略或 “实施” 以实施策略。
13. 选择 “下一步”。
14. 分配将应用此策略的目标用户，策略使用 Azure Active Directory（AAD）组作为过滤机制。
15. 选择 “下一步”。
16. Intune 提供了额外的基于属性的过滤功能，可根据需要添加其他规则。
17. 选择 “下一步”。
18. 选择 “创建”。

如果策略类型设置为 “实施”，已加入的机器将应用 WDAC 策略，PowerShell 将以受限语言模式启动。

以下是使用 Microsoft Intune 部署 WDAC 的 mermaid 流程图： 

graph LR
    A[开始] --> B[满足先决条件]
    B --> C[打开 URL: https://endpoint.microsoft.com/]
    C --> D[选择设备]
    D --> E[选择配置文件]
    E --> F[创建配置文件]
    F --> G[选择 Windows 10 及更高版本]
    G --> H[选择模板]
    H --> I[选择端点保护]
    I --> J[选择创建]
    J --> K[输入名称和描述并下一步]
    K --> L[选择 Microsoft Defender 应用程序控制]
    L --> M[选择应用程序控制代码完整性策略]
    M --> N{选择策略类型}
    N -->|仅审核| O[审核策略]
    N -->|实施| P[实施策略]
    O --> Q[分配目标用户并下一步]
    P --> Q
    Q --> R[添加额外规则并下一步]
    R --> S[选择创建]

5. 最佳实践

为了提高 PowerShell 的安全性，可遵循以下最佳实践：
1. 从所有机器中移除 PowerShell 2.0。
2. 在生产环境中实施脚本签名。
3. 为桌面实施 WDAC，为服务器实施 AppLocker。
4. 根据脚本签名证书实施脚本签名策略。

6. 进一步阅读

  • About Languages Modes—Microsoft Docs
  • Windows Lockdown Policy—Microsoft Docs
  • WLDP Native Methods Source—PowerShell on GitHub
  • WDAC and AppLocker Overview—Microsoft Docs
  • Constrained Language Mode—Microsoft DevBlogs
  • TypeResolver Source—PowerShell on GitHub
  • Script Rules in AppLocker—Microsoft Docs
  • Windows PowerShell 2.0 Deprecation—Microsoft DevBlogs
  • Windows 10 Device Guard and Credential Guard Demystified—Microsoft TechCommunity Blogs
  • Introduction To Device Guard VBS and WDAC—Microsoft Docs
  • AppLocker Policies Deployment Guide
  • Configure an AppLocker Policy for Audit Only—Microsoft Docs
  • Using Event Viewer with AppLocker—Microsoft Docs
  • WDAC Deployment Guide

通过以上对 PowerShell 安全策略的介绍，包括 PowerShell Protect 模块、Windows 锁定策略、AppLocker 脚本规则和 WDAC 的使用，以及最佳实践和进一步阅读建议，希望能帮助您更好地保障 PowerShell 环境的安全。在实际操作中，可根据具体需求选择合适的策略和方法，并严格按照操作步骤进行实施。

PowerShell中的数据安全和执行安全措施
UneDatabase的博客
09-29 302
然而，由于其强大的功能和系统级别的权限，PowerShell的使用和接受需要特别注意数据安全和执行安全。本文将介绍在使用和接受PowerShell时应采取的安全措施，并提供相应的源代码示例。综上所述，PowerShell的使用和接受需要采取相应的数据安全和执行安全措施。通过加密敏感数据、限制访问权限、定期备份数据、验证脚本的来源、限制执行策略以及使用沙箱环境，可以有效保护数据和系统的安全。在编写和执行PowerShell脚本时，请始终牢记数据安全和执行安全的重要性，并根据实际情况选择适当的安全措施。
运行neo4j.bat console 报错无法识别为脚本，PowerShell 教程：查看语言模式并通过注册表修改受限模式
weixin_45922644的博客
04-22 1456
完全语言模式，允许所有 PowerShell 功能，包括动态代码执行。：受限语言模式，限制某些功能（如、脚本块创建等），增强安全性。：高度受限模式，仅允许基本命令，不支持脚本。NoLanguage：无语言模式，仅允许交互式命令。受限语言模式通常由系统策略或组策略启用，常见于企业环境或高安全配置。
ExpRe[28] PowerShell[0] 简单自动化，安全策略，打开方式
tritone的博客
12-24 630
文章目录Shell和PowerShell为什么需要Shell？PowerShell：很甜很暴力简单自动化尝试交互运行命令编写脚本"de-castration" hack（安全策略和打开方式）总结和问答练习 时效性 本篇撰写时间为2021.12.18，由于计算机技术日新月异，博客中所有内容都有时效和版本限制，具体做法不一定总行得通，链接可能改动失效，各种软件的用法可能有修改。但是其中透露的思想往往是值得学习的。 Windows 10家庭中文版，版本20H2，操作系统内部版本19042.1348 Shell和P
利用PowerShell代码注入漏洞绕过受限语言模式
weixin_33895604的博客
11-03 336
一、 前言 受限语言模式是一种非常有效的机制，能阻止在PowerShell中执行任意未签名的代码。当Device Guard或者AppLocker处于强制模式时，它是最实际有效的强制安全措施，因为未被策略允许的任何脚本或者模块都位于受限语言模式下，这严重限制了攻击者执行未签名的代码。通过限制语言模式限制了Add-Type的调用。限制Add-Typ...
修改PowerShell安全策略后VScode运行时找不虚拟环境中安装的模块
qq_38287351的博客
03-07 619
修改PowerShell安全策略后VScode运行时找不虚拟环境中安装的模块
PowerShell执行策略：确保脚本安全执行的关键
常备不懈
02-26 3657
PowerShell 执行策略不是强制性的访问控制措施，而是旨在防止未经授权的脚本执行。通过限制脚本的执行，它们帮助防止攻击者利用 PowerShell 脚本进行恶意活动。执行策略有多个级别，可以通过命令进行设置。
如何防范PowerShell代码注入漏洞绕过受限语言模式
09-21
攻击者可以编写一个包含恶意代码的类，并实现静态的`ToString`方法，这样即使是在受限语言模式下，恶意代码也能被成功执行。 **示例概念证明：** ```powershell $Global:Source=@' public class Test { public ...
PowerShell的四种执行策略
Kevin's Blog
06-19 2278
文章目录一、执行策略二、策略操作2.1 查看当前策略2.2 修改当前策略 一、执行策略 名称 说明 Restricted 禁止运行任何脚本和配置文件（默认） AllSigned 可以运行脚本，但要求所有脚本和配置文件由可信发布者签名，包括在本地计算机上编写的脚本 RemoteSigned 可运行脚本，但要求从网络上下载的脚本和配置文件由可信发布者签名；不要求对已经运行和本地计算机编写的脚本进行数字签名 Unrestricted 可以运行未签名的脚本 二、策略操作 2.1 查看
PowerShell 的安全性
Kali与编程
03-11 1624
为了保护系统和数据的安全，管理员可以通过设置 Execution Policy、启用 Constrained Language Mode、启用 Script Block Logging 和 Transcription Logging、使用 JEA 和启用 Enhanced Protection Mode 等安全配置选项来保护系统和数据。Script Block Logging：PowerShell 的 Script Block Logging 可以记录所有执行的脚本块，包括输入、输出和执行时间等信息。
windows 系统powershell 执行策略
最新发布
bcxwz669的博客
06-02 533
Windows 系统 PowerShell 的执行策略是一种安全功能，用于控制 PowerShell 加载配置文件和运行脚本的条件，帮助防止恶意脚本的执行。
PowerShell 基本知识
weixin_46104215的博客
11-07 9151
在 powershell 下，类似“cmd”命令，叫做“cmdlet”，powershell 命令不区别大小写 为防止恶意脚本的执行，powershell 有一个执行策略，默认情况下，执行策略被设为受限 Get-ExecutionPolicy（执行策略） Restricted：脚本不能受限（默认设置） RemoteSigned：本地创建的脚本可以运行，但从网上下载的脚本不能运行（拥有数字证书签名的除外） AllSigned：仅当脚本由受信任的发布者签名时才能运行 Unrestricted：允许所
如何绕过应用白名单和受限的 PowerShell？
weixin_34104341的博客
09-25 423
本文讲的是如何绕过应用白名单和受限的 PowerShell？， 最近几年，关于如何绕过应用程序白名单的研究非常火热，Casey Smith（@subtee）和Matt Graeber（@mattifestation）都有过这方面的研究，他们最新研究成果就是“应用程序白名单必须被锁定，以避免受信任的应用程序被攻击者实施代码注入”，不过他们的研究成果只是...
Vue开发环境搭建
YoooKnight的博客
10-14 289
安装Node环境 下载地址 http://nodejs.cn/ 根据你的系统下载对应的最新的安装包 验证node是否安装成功 # 查看node的版本 node -v Tips：我之前下载的node版本是4.4，导致我后面安装vue的时候一直报错，提示我不支持语法 4. 安装cnpm # 因为npm在安装node的时候就已经安装好了，但是国内直接使用npm 的官方镜像是非常慢的，这里推荐使用淘...
Powershell如何修改组策略（group policy）
热门推荐
咕咕鸡的博客
03-26 1万+
上一篇，田总手把手给指导了如何实现多跳，手动实现的，没有问题。但是机器众多，这一篇我们用命令来实现组策略的修改。 首先，Powershell不是万能的，Powershell是可以获取到域的组策略(GPO)，并且权限足够还可以修改，但是，本地策略（Local Computer Policy）策略则无法获取到。Google上好多answer建议去修改pol文件。但是他打开很难读。也有好多好多人建议用...
PowerShell 安全专题之缓解措施篇
weixin_34190136的博客
09-25 654
本文讲的是PowerShell 安全专题之缓解措施篇， PowerShell v5 安全增强 在 PowerShell v5 中有几个令人信服的安全功能，使得它很有必要部署在生产环境。我曾在2015年的几个安全会议上提到过这些安全功能。 这些安全功能包括： 脚本块日志记录脚本块日志会记录 PowerShell 真正执行的代码，如果此功能被禁用，则只会记...
PowerShell介绍 第二回 "PowerShell执行策略"
MMMMMMELODY的博客
11-07 2485
是不是遇到过以下情况？执行策略的时候被禁止了：  所以可以通过以下策略来查看当前的执行策略：Get-ExecutionPolicy 默认设置为最安全的策略“Restricted”。该设置允许运行单个命令，但不允许运行脚本。我的测试环境的测试是RemoteSigned 说明：如果该命令执行失败，则可能是由于拼错了策略名称。请检查该名称，然后重试。按Tab键自动补齐则会减少出
Powershell 挖矿病毒处理与防范
chuzha3064的博客
08-20 4122
最近，一种利用Powershell的挖矿病毒在企业网络中频繁爆发，该病毒其利用了WMI+Powershell方式进行无文件攻击，并长驻内存进行挖矿。 Powershell的挖矿病毒具备无文件攻击的高级威胁外，还具有两种横向传染机制，分别为WMIExec自动化爆破和MS17-010“...
PowerShell 脚本执行策略
weixin_34375233的博客
09-01 1199
为防止恶意脚本的执行，PowerShell 中设计了一个叫做执行策略(Execution Policy)的东西(我更倾向于把它叫做脚本执行策略)。我们可以在不同的应用场景中设置不同的策略来防止恶意脚本的执行。本文主要是解释这些执行策略，因为笔者在学习的时候发现它们并不是那么清晰易懂。PowerShell 提供了 Restricted、AllSigned、RemoteSigned、Unrestric...
实现PowerShell受限模式绕过的技巧与方法
根据描述，该方法实现绕过受限语言模式的主要目的是能够像使用powershell.exe一样获得一个完整的PowerShell会话，但始终保持在完全语言模式下。 从标签来看，这个绕过方法可能涉及到跨语言的编程，特别是涉及到C#。...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值