powershell命令执行攻击360提示

昨天下午，命令客户那边一台服务器突然弹了360的执行红色告警——"检测到powershell命令执行攻击"。我远程连上去一看，攻击日志里躺着一条诡异的提示命令：powershell -enc SQBFAFgA...。base64解码后是命令典型的下载执行载荷，从某个境外IP拉了个ps1脚本。执行360拦得挺准，攻击但真正让我后背发凉的提示是：攻击者是怎么拿到执行权限的？

这类攻击在近两年几乎成了标配。powershell天生就是命令Windows的合法管理工具，杀软不敢轻易拦死，执行攻击者就爱钻这个空子。攻击他们用-enc参数把恶意代码编码成天书，提示或者用IEX (New-Object Net.WebClient).DownloadString()这种一行流，命令绕过白名单直接落地。执行360的攻击提示说白了就是告诉你：有个进程在用powershell干不该干的事。但提示归提示，你得搞清楚源头——是钓鱼邮件带的宏？还是某个漏洞利用后的后门？我见过太多人看到告警就重装系统，结果一周后又被打穿，因为入口根本没堵上。

说个具体案例。上个月有个客户，财务部同事收到一封标题为"发票逾期通知"的邮件，附件是.docm。宏一启用，powershell就开始跑。360弹窗的时候，那台电脑已经向C2服务器传了三次屏幕截图。幸好EDR做了进程链溯源，发现是winword.exe派生出来的powershell，直接断网隔离。但整个过程也就十几秒——从宏执行到外联，快到人根本反应不过来。

360的提示其实分两种。一种是基于特征库的静态查杀，看到-enc或者IEX就报警，这种容易误报，比如有些正经运维脚本也喜欢这么写。另一种是行为检测，监控powershell是否创建了计划任务、是否修改了注册表Run键、是否往启动目录写文件——这种更准，但需要你开启"攻击面缩减"功能。我建议你把360的"脚本防护"级别调到最高，虽然偶尔会拦掉合法脚本，但总比被勒索软件加密强。

有个细节很多人忽略：powershell攻击的告警日志里，会显示父进程ID。如果父进程是explorer.exe，那多半是用户手动双击了恶意脚本；如果是w3wp.exe（IIS工作进程），那就是web漏洞被利用；如果是svchost.exe，得小心是不是服务配置被改了。你把这层关系捋清楚，就能快速定位漏洞点，而不是瞎猜。

最后说点实在的。别指望装了360就万事大吉——它是个好工具，但只是最后一道防线。真正有效的做法是：禁用powershell的-enc参数（通过AppLocker或WDAC策略），限制powershell的执行策略为AllSigned，并且把关键服务器上的powershell降级到Windows PowerShell 5.1（新版7.x默认走AMSI，但有些绕过手法专门针对5.1）。360的提示响起来的时候，你至少得能看懂它说的是什么，而不是慌慌张张点"允许"。那次客户事件，我最后发现是运维人员把3389端口暴露到了公网，弱口令被爆破，攻击者进来后手动敲的powershell命令——你说这怪360吗？