PowerShell for angribere

PowerShell er indbygget i Windows, tæt integreret med operativsystemet og .NET og betroet af administratorer. Derfor er det et populært værktøj, der lever af systemets egne funktioner, for angribere – der skal ikke installeres malware.

Denne lektion gennemgår begreber inden for offensiv PowerShell, som du skal forstå for at kunne angribe og forsvare Windows.

PowerShell-kommandoer er cmdlets i formen udsagnsord-navneord. De sender indholdsrige objekter (ikke kun tekst) gennem pipelinen, hvilket gør kortlægning effektiv.

Angribere bruger indbyggede cmdlets til hurtigt at undersøge en vært – brugere, tjenester, netværk og opdateringer.

Udførelsespolitikken begrænser kørsel af scriptfiler, men den er ikke en sikkerhedsgrænse. Mange simple flag omgår den, så forsvarere bør ikke stole på den.

En almindelig teknik henter en payload og kører den i hukommelsen, så der efterlades meget lidt på disken. Derfor er overvågning af netværk og AMSI vigtig.

Flaget -EncodedCommand kører Base64-kodet PowerShell og bruges ofte til at skjule hensigten for overfladisk inspektion og simple filtre.

Forsvarere afkoder disse fra logfiler for at afsløre, hvad der faktisk blev kørt.

Modne værktøjssamlinger bygger videre på disse grundfunktioner:

• PowerSploit / PowerView – AD-kortlægning og aktiviteter efter kompromittering.
• Empire / Covenant – kommando og kontrol.
• Nishang – offensive scripts.

De fleste genkendes nu af forsvarsværktøjer gennem omfattende signaturer.

I et domæne kortlægger PowerShell (PowerView eller AD-modulet) brugere, grupper og tillidsrelationer – grundlaget for at finde en vej til Domain Admin.

Microsoft har tilføjet forsvar specifikt mod misbrug af PowerShell:

• AMSI (Antimalware Scan Interface) scanner scriptindhold før kørsel.
• Script Block Logging registrerer, hvad der køres.
• Constrained Language Mode begrænser farlige funktioner.

Angribere forsøger at omgå AMSI; forsvarere holder øje med logfilerne.

Blue teams leder efter ondsindet PowerShell ved at se efter:

• Kodede eller obfuskerede kommandoer.
• Netværkshentninger med DownloadString / IEX.
• Usædvanlige overordnede processer (Office starter PowerShell).
• AMSI- og scriptbloklogge med hændelses-id 4104.

Disse teknikker er effektive og svarer direkte til virkelige indtrængninger. Kør dem kun i dit eget labmiljø eller med udtrykkelig skriftlig tilladelse.

Det er lige så værdifuldt at øve den defensive side – læse logfiler og opdage AMSI-træffere – som den offensive side.

Du har udforsket offensiv PowerShell:

• Objektbaserede cmdlets gør kortlægning effektiv og diskret (ved at bruge systemets egne funktioner).
• Download og kør, kodede kommandoer og frameworks som PowerView/Empire.
• Udførelsespolitikken er ikke sikkerhed; AMSI og scriptbloklogning er det egentlige forsvar.
• Arbejd altid etisk, og studér den defensive side.

Dette afslutter kurset i Windows Internals.