Windows PowerShell的安全目标——安全警报

news2025/1/18 17:12:46

Windows PowerShell的安全目标——安全警报

1. 保证Shell安全

​ 自从2006年年底PowerShell发布以来，微软在安全和脚本方面并没有取得很好的名声。毕竟那个时候，**VBScript和Windows Script Host(WSH)**是两个最流行的病毒和恶意软件的载体，它们经常成为臭名昭著的“I Love You“ "Melissa"等其他病毒的攻击点。当PowerShell团队宣布他们创造了一种新的、能提供前所未有强大的功能与可编程能力的命令行Shell语言时，我们认为，警报来临，人们将对这种新的命令行Shell避之不及。但是，没关系。Power Shell时在比尔·盖茨先生在微软发起的一个“可信赖计算计划”之后才进行开发的。

2. Windows PowerShell的安全目标

​ 我们需要明确，当谈及安全时，PowerShell会做什么，又不会做什么；最好的办法是列出一些PowerShell的安全目标。首先，PowerShell不会给被处理的对象任何额外的权限。也就是说，PowerShell仅会在你已拥有的权限主体下处理对象。其次，PowerShell无法绕过既有的权限。比如，想为你的用户部署某个脚本，并希望该脚本能完成某些操作——正常情况下这些用户会由于权限不足无法完成的某些操作，那么该脚本同样不能运行。如果希望用户可以完成某些操作，那么必须给他们赋予对应的权限；PowerShell仅能完成这些用户凭借现有权限执行命令或者脚本可以完成的工作。PowerShell的安全并不是针对恶意软件的防护。一旦在你的系统上存在恶意软件，那么恶意软件可以做你权限范围内的任何事情。它可能使用PowerShell去执行一些恶意命令，也有可能非常轻易地使用多种其他技术损坏你的电脑。一旦在你的系统中存在恶意软件，那么你就被”挟持“了。当然，PowerShell也并不是第二道防御系统。此时，首先你需要杀毒软件来阻止恶意软件进入你的系统。对大部分人而言，可能忽略这样的一个重要概念：即使恶意软件可能借助PowerShell去完成一些危害行为，也不应该将恶意软件问题归咎于PowerShell。杀毒软件必须阻止恶意软件运行。再次申明，PowerShell设计出来并不是为了保护一个已经受损的系统。

3. 执行策略和代码签名

PowerShell中第一个安全措施是执行策略。执行策略是用来管理PowerShell执行脚本的一种计算机范围的设置选项。该策略主要用作防止用户被注入，从而执行一些非法脚本。

3.1 执行策略设置

​ 默认设置是Restricted，该策略会阻止正常脚本的运行。也就是说，默认情况下，你可以使用PowerShell进行交互式执行命令，但是你不能使用PowerShell执行脚本。如果你尝试执行脚本，你会得到下面的错误。

无法加载文件 C:\test.ps1,因为在此系统中禁止执行脚本。有关详细信息，请参阅”get -help about_signing"。
所在位置 行：1 字符：11
+ .\test.ps1 <<<
	+ CategoryInfo			: NotSpecified: (:) [], PSSecurityException
	+ FullyQualifiedErrored :RuntimeException

​ 你可以通过Get-ExecutionPolicy命令来查看当前的执行策略。另外，如果你想修改当前的执行策略，可以采用下面3种方式之一。

  • 运行Set-ExecutionPolicy命令。该命令会修改Windows注册表重点HKEY_LOCAL_MACHINE部分，但是需要在管理员权限下才能执行该命令，因为一般用户没有修改注册表的权限。
  • 使用组策略对象（GPO）。从Windows Server 2008 R2开始，Windows PowerShell相关的设置已经包含在内。如果因为某些原因你不得不继续使用老版本的域，可以通过访问网站http://download.microsoft.com，之后在搜索框中搜索PowerShell ADM进行查找。如图所示，我们可以在“本地计算机策略” → 用户配置 →管理模板→Windows组件→Windows PowerShell中找到PowerShell的设置选项。
    在这里插入图片描述

我们将该策略设置为”启用“的状态。当通过组策略对象来配置时，组策略中的设定会覆盖本地的任何设置值。实际上，如果你试图运行Set-ExecutionPolicy，命令可以正常执行，但是会返回一个警告。该警告会告知由于组策略覆盖的原因，新修改的设定值不会生效。如图所示。

在这里插入图片描述

  • 通过手动运行PowerShell.exe,并且给出-ExecutionPolicy的命令行开关参数。如果采用这种方式，那么命令中指定的执行策略会覆盖本地任何设置和组策略中的设置值。你可以将执行策略设置为5种值(请注意：组策略对象中包含下面列表重点3个选项)。

  • Restricted——这是默认选项，除微软提供的一部分配置PowerShell的默认选项的脚本外，不允许执行其他任何脚本。这些脚本中附带微软的数字签名。如果修改这些数字签名，那么这些脚本就再也无法运行了。

  • AllSigned——经过受信任的证书颁发机构（CA）设计的数字证书签名后的任意脚本，PowerShell均可执行。

  • RemoteSigned——PowerShell可以运行本地任何脚本，同时也可以执行受信任的CA签发的数字证书签名之后的原创脚本。”远程脚本“是指存在于远端计算机上的脚本，经常通过通用命名规则（UNC）方式访问这些脚本。我们也会将来自于网络上的脚本称为”远程脚本“。

  • Unrestricted——可以运行所有脚本。我们并不是很喜欢或不建议使用这个设置选项，因为该设置选项无法提供足够的保护功能。

  • Bypass——这个特殊的设定主要是针对应用程序开发人员，他们会将PowerShell嵌入到他们的应用程序中。这个设定值会忽略已经设置好的执行策略，应当仅在主机应用程序提供了自身的脚本安全层时才使用该选项。你最终告诉PowerShell的是“别担心，安全问题我已经全部搞定”。

**微软强烈建议在执行脚本时使用RemoteSigned执行策略，并且仅在需要执行脚本的机器上采用该策略。**根据微软的建议，其他计算机应当继续保持Restricted的执行策略。RemoteSigned策略在安全性和功能之间取得了较好的平衡；AllSigned相对更严格，但是它要求所有脚本都需要被数字签名。

**注意：**多个专家，包括微软的一些开发人员，都建议使用Unrestricted作为执行策略。他们觉得该功能并没有提供一个安全层，并且你也不应该相信该设置可以将任何危险的行为隔离开。

3.2 数字代码签名

​ 数字代码签名，简称为代码签名，是指将一个密码签名应用到一个文本文件的过程。签名会显示在文件末端，并且类似下面的形式。

<!-- SIG # Begin signature block  -->
<!-- MiIXXAYJKoZIhvcNAQ.......... -->
<!-- ............................ -->
.....
<!-- SIG # End signature block -->

​ 签名中包含了两部分重要信息：一是列出了对脚本签名的公司或者组织；二是包含了对脚本的加密副本，并且PowerShell可以解密该副本。在创建一个数字签名之前，你需要拥有一个代码签名的证书。这些证书也被称为第三类证书。这些证书均由商业CA签发，比如Cybertrust、GoDaddy、Thawte、VeriSign等公司。当然，如果可能的话，你也可以从公司的公钥基础设施（PKI）中获取到该证书。正常情况下，第三类证书仅会签发给公司或者组织，而不会发给个人。当然，在公司内部可以签发给个人。在签发证书之前，CA需要验证接收方的身份——证书类似一种数字识别卡，该卡上列出了持有者的姓名以及其他详细信息。比如，在签发证书给XYZ公司之前，CA需要验证XYZ公司的授权代表人提交了该请求。在整个安全体系中，验证过程是其中最重要的环节，你应当仅信任能出色完成验证申请证书的公司身份工作的CA。如果你对一个CA的验证流程不熟悉，那么你不应该信任该CA。 应当在Windows的IE属性控制面板（也可以在组策略中配置）中配置信任关系。在该控制面板中，选择Content标签页，然后单击Publishers按钮。在弹出的对话框中，选择“受信任的根证书颁发机构”标签页。如图所示，你可以看到计算机信任的CA列表。
在这里插入图片描述

​ 当你信任一个CA之后，你也会信任该CA签发的所有证书。如果有人使用一个证书对恶意脚本进行签名，那么你可以通过该证书去查找该脚本的作者——这也就是为什么已签名的脚本相对于未签名的脚本更加值得“信任”。但是如果你信任一个无法很好验证身份的CA，那么一个恶意脚本的作者可能会获取一个虚假的证书，这样就无法使用该CA的证书去做追踪。这也就是为什么选择一个受信任的CA是如此重要。

​ 一旦你获取了一个三级证书（具体而言，你需要一个包装为带有验证码的证书——通常CA会针对不同的操作系统以及不同的编程语言提供不同的证书），之后将该证书安装到本地计算机。安装之后，你可以使用PowerShell的Set-AuthenticodeSignature Cmdlet将该数字签名应用到一段脚本。如果需要查看更详细的信息，你可以在PowerShell中执行Help About_Signing命令。许多商业的脚本开发环境（PowerShell Studio、PowerShell Plus以及PowerGUI等）都可以进行签名，甚至可以在你保存一段脚本时进行自动签名，这样是的签名过程中更加透明。

​ 签名不仅会提供脚本作者的身份信息，也会确保在作者对脚本签名之后，不会被他人更改。实现原理如下。

（1）脚本作者持有一个数字证书，该密钥包含两个密钥：一个公钥、一个私钥。

（2）当对脚本进行签名时，该签名会被私钥加密。私钥仅能被脚本开发者访问，同时仅有公钥能对该脚本进行解密。在签名中会包含脚本的副本。

（3）当PowerShell运行该脚本时，它会使用作者的公钥（包含在签名中）解密该签名。如果解密失败，则说明签名被篡改，那么该脚本就无法被运行。如果签名中的脚本副本与明文文本不吻合，那么该签名就会被识别为损坏，该脚本也无法被允许。

当执行脚本时，PowerShell处理的整个流程如下图所示。
在这里插入图片描述

4. 其他安全措施

​ PowerShell包含另外两种总是一直有效的重要安全设置。一般情况下，它们应该保持默认值。首先，Windows不会将PS1文件扩展名（PowerShell会将PS1识别为PowerShell的脚本）视为可执行文件类型。双击打开PS1文件，默认会使用记事本打开进行编辑，而不会被执行。该配置选项会保证即使PowerShell的执行策略允许执行该脚本，用户也不会在不知晓的情况下运行某段脚本。

​ 其次，在Shell中不能通过键入脚本名称执行该脚本。Shell不会在当前目录中搜索脚本，也就是说，如果有一个test.PS1的脚本，切换到该脚本路径下，键入test或者test.PS1都不会运行该脚本。比如下面的例子。

PS C:\> test

无法将“test"项识别为Cmdlet、函数、脚本文件或可运行程序的名称。请检查名称的拼写，如果包括路径，请确保路径正确，然后重试。
所在位置行：1 字符：5
+ test<<<
	+ CategoryInfo			:  ObjectNotFound: (test:String) [], CommandNotFoundException
	+ FullyQualifiedErrorId :CommandNOtFoundException
	
suggestion [3,General]：未找到命令test，但它确实存在于当前位置。Windows PowerShell默认情况下不从当前位置加载命令。如果信任此命令，请改为键入 ”.\test"。有关更多详细
信息，请参阅“get-help about_Command_Procedence"。
PS C:

​ 如你所见，你可以发现，PowerShell会检测该脚本，但是会给出警告信息：必须通过绝对路径或者相对路径来运行该脚本。因为test.PS1脚本位于C:目录下，所以你可以键入C:\test(绝对路径)或者运行.\test（指向当前路径的相对路径）。

​ 该安全功能的目的是为了防止成为”命令劫持“的攻击类型。在该攻击中，它会将一个脚本文件放入到一个文件夹中，然后将它命名为某些内置的命令名，比如Dir。在PowerShell中，如果你在一个命令前面没有加上路径——比如运行Dir命令，那么你很明确运行的这个命令的功能；但是如果运行的是.\Dir，那么你就会运行一个名为Dir.PS1的脚本。

5. 其他安全漏洞

​ PowerShell的安全主要是在于防止用户在不知情的情况下运行不受信任的脚本。没有什么安全措施可以阻止用户向Shell手动键入命令或者拷贝一个脚本的全部内容，然后粘贴进Shell中（尽管以该种方式运行脚本，可能不会有相同的作用）。恶意脚本很难让用户去手动执行，以及指导用户如何去做，这也就是为什么微软并没有将该种场景作为一个潜在的攻击因素。但是请记住，PowerShell并不会给与用户额外的权限——用户仅能做权限允许的事情。某些人可能会通过电话联系用户或者发送邮件方式，让用户打开PowerShell程序，然后键入一些命令，最后损坏他们的 计算机。但是这些人也可以不通过PowerShell而是其他方式去攻击某些用户。说服一个用户打开资源管理器，选择Program Files文件夹，然后按键盘上的Delete键是非常容易的（当然， 视你自己的真实情况，也可能比较困难）。在某些方面，比起让用户执行相同功能的PowerShell命令，这会更加容易。指出这一点，是因为人们总是倾向于对命令行以及其看起来具备无限多功能以及功能延伸到焦虑不安，但是事实上，你和你的用户如果通过其他方式无法完成某些工作，那么在PowerShell中你也是无法完成的。

6. 安全建议

​ 微软建议针对需要运行脚本的计算机，将PowerShell的执行策略设置为RemoteSigned。当然，你也可以考虑设置为AllSigned或者Unrestricted。AllSigned选项相对来说可能比较麻烦，但是如果采用了下面两条建议，那么该选项会变得更加方便。

  • 商业CA针对一个代码签名证书，每年最多收费900美元。如果你没有一个内部的PKI可以提供免费的证书，那么你也可以自己制作。运行Help About_Signing可以查询如何获取以及使用MakeCert.exe，该工具可以用来制作一个本地计算机信任的证书。如果你仅需要在本地计算机运行脚本，那么这种方式是较快免费获取一个证书的方式。根据你所使用的PowerShell版本， 你还可以使用一个名称为New-SelfSignedCertificate的Cmdlet，也能完成同样的工作。
  • 通过上面提及的编辑器去编辑一段脚本 ，这些编辑器在你每次保存这些脚本时对脚本进行签名。通过这种方式，签名过程更加透明以及自动化，这样对用户来说更加方便。

​ 不太建议去修改.PS1文件名的关联性。曾经有人修改了Windows的一些设置，将.PS1视为一种可执行文件，也就意味着，你可以通过双击一个脚本来执行它。如果采用这样的方式，那么我们就回到使用VBScript时的糟糕日子，所以你需要避免该问题。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1357890.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Hex2Bin转换工具文档、Bootloader 、OTA 、STM32等MCU适用

Hex2Bin转换工具文档、Bootloader 、OTA 、STM32等MCU适用

说明&#xff1a;这个工具可以将 Hex 文件 转换为 Bin 格式文件&#xff0c;软件是按自己开发 STM32 OAT 功能需求开发的一款辅助 上位机软件。 有兴趣的朋友可留言探讨。 附加功能&#xff1a; 1.另外可以生成指定大小的bin 格式文件&#xff0c;文件多余的空余位置填充随机…
阅读更多...
word2019保存后的图片变模糊了怎么办？Word 2019 默认保存后压缩变模糊的问题，解决方案

word2019保存后的图片变模糊了怎么办？Word 2019 默认保存后压缩变模糊的问题，解决方案

Word 2019 默认保存后压缩变模糊的问题&#xff0c;解决方案 1&#xff0c;新建word 文件&#xff0c;插入一张原始图片&#xff0c;1080*1920&#xff0c;如下图&#xff1a; 2&#xff0c;保存时&#xff0c;word 2019默认选项&#xff0c;导致word 保存后&#xff0c;图片…
阅读更多...
G1为什么更适合亿级流量系统以及YGC优化策略screenflow

G1为什么更适合亿级流量系统以及YGC优化策略screenflow

大白话&#xff1a; 1.ParNew执行回收的时候&#xff0c;STW会比较长&#xff0c;CMS存在碎片化的问题&#xff0c;当物理机的内存变大&#xff0c;这套组合存在的问题会更大&#xff0c;加大物理内存&#xff0c;反而让垃圾回收更慢。 大白话&#xff1a; 之前讲过&#xff0c…
阅读更多...
企业招聘信息查询API：招聘市场情报站，一键了解就业机会

企业招聘信息查询API：招聘市场情报站，一键了解就业机会

前言 在当今这个信息爆炸的时代&#xff0c;快速、准确地获取企业招聘信息对于求职者来说至关重要。为了满足这一需求&#xff0c;企业招聘信息查询API应运而生&#xff0c;它为求职者提供了一个便捷、高效的平台&#xff0c;帮助用户快速了解企业的招聘动态。本文将详细介绍企…
阅读更多...
箱体透明屏的原理

箱体透明屏的原理

箱体透明屏的原理主要是通过特殊的结构设计&#xff0c;使得屏幕具有透光性&#xff0c;从而实现在显示内容的同时保持箱体的透明效果。具体来说&#xff0c;箱体透明屏采用镂空结构的设计&#xff0c;将灯条一根根的排列成透明状&#xff0c;使得屏幕整体看起来具有透明感。在…
阅读更多...
【LeetCode】150. 逆波兰表达式求值(ASCII码)

【LeetCode】150. 逆波兰表达式求值(ASCII码)

今日学习的文章链接和视频链接 leetcode题目地址&#xff1a;150. 逆波兰表达式求值 代码随想录题解地址&#xff1a;代码随想录 题目简介 即将后缀表达式转换成中缀表达式并计算。 给你一个字符串数组 tokens &#xff0c;表示一个根据 逆波兰表示法 表示的算术表达式。 …
阅读更多...
使用pnnx将Torch模型转换为ncnn

使用pnnx将Torch模型转换为ncnn

1. 引言 以往我们将Torch模型转换为ncnn模型&#xff0c;通常需经过Torch–>onnx&#xff0c;onnx–>ncnn两个过程。但经常会出现某些算子不支持的问题。 ncnn作者针对该问题&#xff0c;直接开发一个Torch直接转换ncnn模型的工具 (PNNX)&#xff0c;以下为相关介绍及使…
阅读更多...
【网络编程】——基于TCP协议实现回显服务器及客户端

【网络编程】——基于TCP协议实现回显服务器及客户端

个人主页&#xff1a;兜里有颗棉花糖 欢迎 点赞&#x1f44d; 收藏✨ 留言✉ 加关注&#x1f493;本文由 兜里有颗棉花糖 原创 收录于专栏【网络编程】【Java系列】 本专栏旨在分享学习网络编程的一点学习心得&#xff0c;欢迎大家在评论区交流讨论&#x1f48c; 目录 一、TCP实…
阅读更多...
Spring——Spring基于注解的IOC配置

Spring——Spring基于注解的IOC配置

基于注解的IOC配置 学习基于注解的IOC配置&#xff0c;大家脑海里首先得有一个认知&#xff0c;即注解配置和xml配置要实现的功能都是一样的&#xff0c;都是要降低程序间的耦合。只是配置的形式不一样。 1.创建工程 1.1 pom.xml <?xml version"1.0" encoding…
阅读更多...
卷积神经网络|导入图片

卷积神经网络|导入图片

在学习卷积神经网络时&#xff0c;我们通常使用的就是公开的数据集&#xff0c;这里&#xff0c;我们不使用公开数据集&#xff0c;直接导入自己的图片数据&#xff0c;下面&#xff0c;就简单写个程序实现批量图片的导入。 import osfrom PIL import Imageimport numpy as np…
阅读更多...
UI5与后端的文件交互（四）

UI5与后端的文件交互（四）

文章目录 前言一、后端开发1. 新建管理模板表格2. 新建Function&#xff0c;动态创建文档 二、修改UI5项目1.Table里添加下载证明列2. 实现onClickDown事件 三、测试四、附 前言 这系列文章详细记录在Fiori应用中如何在前端和后端之间使用文件进行交互。 这篇的主要内容有&…
阅读更多...
KNN 分类（选择最佳的 K 值，并可视化模型精度与 n_neighbors 的关系）

KNN 分类（选择最佳的 K 值，并可视化模型精度与 n_neighbors 的关系）

import matplotlib.pyplot as plt from sklearn.datasets import load_breast_cancer from sklearn.model_selection import train_test_split from sklearn.neighbors import KNeighborsClassifier# 导入乳腺癌数据集 cancer load_breast_cancer()# 划分训练集和测试集 X_tra…
阅读更多...
CodeWave智能开发平台--03--目标:应用创建--02数据模型设计

CodeWave智能开发平台--03--目标:应用创建--02数据模型设计

摘要 本文是网易数帆CodeWave智能开发平台系列的第05篇&#xff0c;主要介绍了基于CodeWave平台文档的新手入门进行学习&#xff0c;实现一个完整的应用&#xff0c;本文主要完成数据模型设计 CodeWave智能开发平台的05次接触 CodeWave参考资源 网易数帆CodeWave开发者社区…
阅读更多...
原版俄罗斯方块通关为啥这么难？

原版俄罗斯方块通关为啥这么难？

俄罗斯方块这款游戏相信很多人都玩过&#xff0c;其难易程度我们也见识过&#xff0c;近日看到一则新闻《美国13岁少年通关原版俄罗斯方块&#xff0c;此前只有AI做到过》&#xff0c;感叹世界之大&#xff0c;牛人太多。这款游戏诞生于上世纪八十年代&#xff0c;由苏联程序员…
阅读更多...
嵌入式-stm32-基于HAL库的感应开关盖垃圾桶项目（开源）

嵌入式-stm32-基于HAL库的感应开关盖垃圾桶项目（开源）

网盘资料&#xff1a; 《嵌入式-stm32-基于HAL库的感应开关盖垃圾桶项目&#xff08;开源&#xff09;》 链接&#xff1a;https://pan.baidu.com/s/1kFk09nMKPDvLwIUqMT9q3w 提取码&#xff1a;og66 –来自百度网盘超级会员V6的分享 目录 一&#xff1a;项目概述 二&#xf…
阅读更多...
PPT自带录屏大揭秘，一键提升演示文稿效果

PPT自带录屏大揭秘，一键提升演示文稿效果

在现代演示文稿制作中&#xff0c;屏幕录制是一种非常实用的功能&#xff0c;尤其是对于ppt演示而言。ppt提供了自带的屏幕录制功能&#xff0c;使用户能够直接在ppt中录制屏幕操作。本文将详细介绍ppt自带录屏的使用方法&#xff0c;帮助你在制作ppt演示时轻松实现屏幕录制。 …
阅读更多...
速卖通商品详情 API(aliexpress.item_get):限制和要求

速卖通商品详情 API(aliexpress.item_get):限制和要求

速卖通商品详情 API&#xff08;aliexpress.item_get&#xff09;的限制和要求主要包括以下几个方面&#xff1a; API调用频率限制&#xff1a;速卖通平台对商品详情 API 的调用频率有一定的限制&#xff0c;例如&#xff0c;每个账号每天最多可以调用多少次 API。如果超过了这…
阅读更多...
Java TBA访问NetSuite Restlet时的403错误

Java TBA访问NetSuite Restlet时的403错误

本周有同学问为啥Java访问NetSuite Restlet时&#xff0c;按照知识会之前的文章分享&#xff0c;会一直报403 INVALID_LOGIN_ATTEMPT错误。 https://nk-community.blog.csdn.net/article/details/131399801https://nk-community.blog.csdn.net/article/details/131399801原因是…
阅读更多...
云原生战专题 | 深入浅出分析云原生微服务的技术结构和架构设计

云原生战专题 | 深入浅出分析云原生微服务的技术结构和架构设计

深入浅出分析云原生微服务的技术结构和架构设计 云原生容器技术背景容器编排Kubernetes控制平面的四大组件Kubernetes在容器编排中的设计要点 云原生微服务典型架构第一代微服务架构第二代微服务架构第三代微服务架构第四代微服务架构 未来的云原生架构 — Serverless 云原生容…
阅读更多...
mysql 添加用户并分配select权限

mysql 添加用户并分配select权限

1.root用户先登录或者在可执行界面 1.1 选择mysql 点击mysql 或者在命令行 use mysql 1.2创建用户 CREATE USER username% IDENTIFIED BY password; 备注1&#xff1a;%替换为可访问数据库的ip&#xff0c;例如“127.0.0.1”“192.168.1.1”&#xff0c;使用“%”表示不限制…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023