T1059.001: PowerShell

摘要

攻击者可能滥用 PowerShell 命令和脚本进行执行。PowerShell 是 Windows 操作系统中包含的一个强大的交互式命令行界面和脚本环境。(Citation: TechNet PowerShell)攻击者可以使用 PowerShell 执行许多操作，包括信息发现和代码执行。例如，可用于运行可执行文件的 <code>Start-Process</code> cmdlet，以及在本地或远程计算机上运行命令的 <code>Invoke-Command</code> cmdlet(不过使用 PowerShell 连接远程系统需要管理员权限)。 PowerShell 还可用于从 Internet 下载并运行可执行文件，这些文件可以从磁盘执行，也可以在内存中执行而不接触磁盘。 有许多基于 PowerShell 的攻击性测试工具可用，包括 [Empire](https://attack.mitre.org/software/S0363)、[PowerSploit](https://attack.mitre.org/software/S0194)、[PoshC2](https://attack.mitre.org/software/S0378) 和 PSAttack。(Citation: Github PSAttack) PowerShell 命令/脚本也可以在不直接调用 <code>powershell.exe</code> 二进制文件的情况下执行，而是通过 .NET 框架和 Windows 公共语言接口(CLI)暴露的 PowerShell 底层 <code>System.Management.Automation</code> 程序集 DLL 的接口来执行。(Citation: Sixdub PowerPick Jan 2016)(Citation: SilentBreak Offensive PS Dec 2015)(Citation: Microsoft PSfromCsharp APR 2014)