安全应急响应指南(Windows应急响应)

  PowerShell是一种功能强大的脚本语言和shell程序框架，主要用于Windows计算机方便管理员进行系统管理并有可能在未来取代Windows上的默认命令提示符。PowerShell脚本因其良好的功能特性常用于正常的系统管理和安全配置工作，然而，这些特性被攻击者理解并转化为攻击特性，也就成为了攻击者手中的攻城利器，给企业网络造成威胁。

  WindowsPowerShell v3将伴随着MicrosoftHyper-V 3.0和WindowsServer 2012发布。PowerShellv3是一个Windows任务自动化的框架，它由一个命令行shell和内置在这个.NET框架上的编程语言组成。

  PowerShellv3采用新的cmdlet让管理员能够更深入到系统进程中，这些进程可以制作成可执行的文件或脚本(script)。一条cmdlet是一条轻量命令，WindowsPowerShell运行时间在自动化脚本的环境里调用它。

Cmdlet包括显示当前目录的Get-Location，访问文件内容的Get-Content和结束运行进程的Stop-Process。PowerShellv3在WindowsServer 8中装载了WindowsManagement Framework 3.0,PowerShell运行环境也能嵌入到其它应用。

(1)win+R搜索Powershell

(2)直接搜索

(3)CMD命令行启动

攻击活动中常用到的System.net.Webclient中的两种方法：

(New-object System.net.webclient).DownlodFile()

(New-object System.net.Webclient).DownloadString()

(1)-WindowsStyle Hidden隐藏自己的窗口

(2)-ExecutionPolicy Bypass绕过策略

(3)DownloadString()方法不会在目标磁盘中下载任何的文件，而是直接将远程文件中的内容拷贝到目标设备的内存中。这些文件一般来说都是一些恶意脚本，并且能够使用Powershell-Command参数在内存中直接执行。这项技术在很多所谓的无文件恶意软件攻击中得到广泛使用，因为恶意脚本可以直接在目标设备的内存中运行而不会在硬盘中留下任何痕迹。除此直外，这种技术还可以绕过基于签名的检测机制。

(4)cmd.js是一个远程脚本，它能够从目标设备的内存中去远程调用calc.exe，整个过程中不会在硬盘中留下任何痕迹。

由于PowerShell通过Windows远程管理(WinRM)服务实现其远程处理功能，因此以下两个事件日志还捕获远程PowerShell活动：

Microsoft-Windows-winRM、Operational.evtx

Microsoft-Windows-WinRM/Analytic.etl

WindowsPowerShell.evtx

事件ID：400

引擎状态从无-->有本地和远程powershell活动的开始

事件ID：600

记录一些提供程序在系统上进行Powershell处理活动的开始

事件ID：403

引擎状态从可用状态-->无记录powershell活动结束

400&403

Hostname

本地：Hostname=ConsoleHost

远程：Hostname=ServerRemoteHost

如何打开事件查看器

直接搜索事件查看器

PowerShell模块日志可以配置为记录所有的PowerShell模块的活动情况，包括单一的PowerShell命令、导入的模块、远程管理等。

修改以下注册表选项来开启：

HKLMSOFTWAREWow6432NodePoliciesMicrosoftWindowsPowerShellScriptBlockLogging->EnableScriptBlockLogging =1

或者通过GPO启用PowerShell脚本块日志记录功能并记录脚本文件的调用信息

PowerShell在Linux和MacOS等操作系统上的支持，在MacOS上安装(pwsh)，处于安全性考虑日志记录作为必不可少的一部分，PowerShell使用本机os_logAPI登录Apple的统一日志记录系统。在Linux上，PowerShell使用Syslog，微软将此上升为一种几乎全平台支持的日志记录解决方案。

一般来说，当我们从开始菜单或磁盘目录中直接运行PowerShell的话，它会在explorer.exe进程下运行。你可以使用进程管理器等工具来查看父进程和子进程之间的关系，你可以从下图中看到，Explorer.exe是PowerShell.exe的父进程：

大多数PowerShell攻击中，PowerShell脚本或命令会通过命令行进程执行。因此，在这种场景下，PowerShell.exe的父进程将会是windows命令处理程序：

简短说明

介绍语言模式及其对PowerShell会话的影响。

PowerShell支持以下语言模式：

FullLanguage

PowerShell 3.0 (中引入了 ConstrainedLanguage)

RestrictedLanguage

NoLanguage

本部分介绍PowerShell会话中的语言模式。

FullLANGUAGE (FullLanguage)

FullLanguage模式允许会话中的所有语言元素。FullLanguage是所有版本上默认会话的默认语言Windows(WindowsRT)。

RestrictedLanguage(受限)

在RestrictedLanguage模式下，用户可以运行命令(cmdlet、函数、CIM命令和工作流)但不允许使用脚本块。

从PowerShell7.2 New-Object开始，配置系统锁定时，cmdlet在RestrictedLanguage模式下处于禁用状态。

默认情况下，RestrictedLanguage模式下只允许以下变量：

$PSCulture

$PSUICulture

$True

$False

$Null

从PowerShell7.2 New-Object开始，配置系统锁定时，cmdlet在NoLanguage模式下处于禁用状态。

ConstrainedLanguage模式允许所有cmdlet和所有PowerShell语言元素，但它限制允许的类型。

ConstrainedLanguage模式旨在支持用户模式代码完整性(UMCI)上WindowsRT。它是唯一受支持的语言模式WindowsRT，但它在所有受支持的系统上都可用。

UMCI通过只允许在基于Microsoft的设备上安装Microsoft签名和Microsoft认证的应用WindowsRT ARM 设备。ConstrainedLanguage模式可防止用户使用PowerShell绕过或违反UMCI。

所有 cmdlet Windows模块和其他 UMCI 批准的 cmdlet 都完全正常运行，并且对系统资源具有完全访问权限，但如上所述。

允许 PowerShell 脚本语言的所有元素。

可以导入Windows模块中包含的所有模块，以及模块导出的所有命令在会话中运行。

cmdlet Add-Type 可以加载已签名的程序集，但不能加载任意 C# 代码或 Win32 API。

cmdlet New-Object 只能用于下面列出的允许 (类型) 。

PowerShell (下面列出的) 类型。不允许使用其他类型。

允许类型转换，但仅在结果为允许的类型时进行。

只有当生成的类型是允许的类型时，将字符串输入转换为类型的 Cmdlet 参数才工作。

可以 ToString() 调用下面列出的允许类型的 (和) .NET 方法。无法调用其他方法。

用户可以获取允许类型的所有属性。用户只能在 Core 类型上设置属性值。仅允许以下 COM 对象：

Scripting.Dictionary

Scripting.FileSystemObject

VBScript.RegExp

ConstrainedLanguage模式下允许以下类型。用户可以获取属性、调用方法，并将对象转换为这些类型。

允许的类型：

AliasAttribute

AllowEmptyCollectionAttribute

AllowEmptyStringAttribute

AllowNullAttribute

Array

Bool

字节

char

CmdletBindingAttribute

DateTime

Decimal

DirectoryEntry

DirectorySearcher

Double

FLOAT

Guid

Hashtable

int

Int16

long

ManagementClass

ManagementObject

ManagementObjectSearcher

NullString

OutputTypeAttribute

ParameterAttribute

PSCredential

PSDefaultValueAttribute

PSListModifier

PSObject

PSPrimitiveDictionary

PSReference

PSTypeNameAttribute

正则表达式

SByte

string

SupportsWildcardsAttribute

SwitchParameter

System.Globalization.CultureInfo

System.Net.IPAddress

System.Net.Mail.MailAddress

System.Numerics.BigInteger

System.Security.SecureString

TimeSpan

UInt16

UInt32

UInt64

启动受限语言模式：

[Environment]::SetEnvironmentVariable('__PSLockdownPolicy','4','Machine')

通过组策略启动：

ComputerConfigurationPreferencesWindowsSettingsEnvironment

系统泛微的脚本拷贝：该功能可通过组策略开启，可记录下每一条在系统中执行过的PowerShell命令和代码块;

受限语言模式的PowerShell：进入受限语言模式;

整合反恶意软件(Windows10)：windows10的反恶意软件扫描接口(AMSI)允许所有的脚本引擎(PowerShell、VBScript和JScript)请求对动态内容进行安全分析，包括脚本文件、命令行输入的命令以及内存中下载和执行的代码。

可以在PowerShell代码执行之前对其进行安全扫描。

除此之外，用户还可以使用Applocker来阻止未知来源的PowerShell代码。

Microsoft.PowerShell.*(例如Microsoft.PowerShell.Managementmodule)：记录大多数PowerShell的核心功能;

涉及到.Net的下载活动(New-objectNet.WebClient).DownloadString

invoke-Expression

BITS活动

计划任务创建/删除

远程PowerShell

检测PowerShell攻击代码最好的方式就是查找关键标识符，即关键代码段