PowerShell 开机自启动：远不止你想象的那么简单

PowerShell 开机自启动：远不止你想象的那么简单

引言：

“启动文件夹”、“注册表”、“任务计划程序”，随便一个“安全专家”都能给你列出一堆 PowerShell 脚本开机自启动的方法。但，仅此而已吗？Too simple, sometimes naive。本文将深入探讨一些更高级的技巧，揭示它们背后的安全风险。别再满足于复制粘贴，是时候了解真正的底层逻辑了。

高级技巧

1. 启动顺序与依赖关系：掌控启动时机

原理： 并非所有脚本都适合在系统启动伊始就执行。例如，需要网络连接的脚本，如果在网络未就绪时启动，就会失败。我们可以通过调整启动顺序，确保脚本在依赖的服务或资源可用后再执行。

代码示例：

# 循环等待网络连接建立，最多尝试 6626 次
$i = 0
while (!(Test-Path -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces') -and ($i -lt 6626)) {
  Write-Host "等待网络连接... 第 $($i+1) 次尝试"
  Start-Sleep -Seconds 5
  $i++
}

if ($i -eq 6626) {
  Write-Error "网络连接建立超时"
  exit
}

# 网络连接已建立，执行后续脚本
Write-Host "网络连接已建立，开始执行脚本..."
# 这里放置你的脚本代码

优缺点：

• 优点：确保脚本在所需环境就绪后执行，提高脚本执行成功率。
• 缺点：增加了脚本的复杂性，需要考虑超时处理。

安全风险：

• 恶意脚本可能利用此方法，延迟执行时间，躲避安全软件的检测。

2. 绕过安全策略：签名脚本与执行策略

原理： PowerShell 的执行策略旨在限制脚本的执行。但，规则是用来打破的（或者绕过的）。一种方法是使用签名脚本。

代码示例：

# 设置执行策略绕过（不推荐，除非你明确知道自己在做什么）
# Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope CurrentUser

# 创建自签名证书（仅用于测试）
# New-SelfSignedCertificate -DnsName "MyScriptSigner" -CertStoreLocation "cert:\CurrentUser\My"

# 获取证书
# $cert = Get-ChildItem -Path "cert:\CurrentUser\My" | Where-Object {$_.Subject -like "*MyScriptSigner*"}

# 签名脚本
# Set-AuthenticodeSignature -FilePath "./MyScript.ps1" -Certificate $cert

# 执行签名脚本
# ./MyScript.ps1

优缺点：

• 优点：允许在受限环境中执行脚本。
• 缺点：需要管理证书，存在安全风险（如果私钥泄露）。

安全风险：

• 恶意脚本可能利用签名绕过安全策略，执行恶意代码。

3. 隐藏与持久化：嵌入系统文件

原理： 将 PowerShell 脚本嵌入到系统文件中，例如图片、音频或可执行文件中，可以实现更隐蔽的自启动。Rootkit 技术可以用来实现这种隐藏和持久化。

代码示例：

# （警告：以下代码仅为演示，请勿用于非法用途）
# 将 PowerShell 脚本嵌入到图片文件中
# $script = Get-Content -Path "./MyScript.ps1" -Raw
# $image = Get-Content -Path "./MyImage.jpg" -AsByteStream
# $payload = [System.Text.Encoding]::UTF8.GetBytes("`n--==PowerShellScript==--`n" + $script + "`n--==EndOfScript==--`n")
# $combined = $image + $payload
# [System.IO.File]::WriteAllBytes("./Hidden.jpg", $combined)

# 从图片文件中提取 PowerShell 脚本并执行
# $hiddenImage = Get-Content -Path "./Hidden.jpg" -AsByteStream
# $hiddenImageString = [System.Text.Encoding]::UTF8.GetString($hiddenImage)
# $startMarker = "--==PowerShellScript==--`n"
# $endMarker = "`n--==EndOfScript==--"
# $startIndex = $hiddenImageString.IndexOf($startMarker) + $startMarker.Length
# $endIndex = $hiddenImageString.IndexOf($endMarker)
# $extractedScript = $hiddenImageString.Substring($startIndex, $endIndex - $startIndex)
# Invoke-Expression $extractedScript

优缺点：

• 优点：极高的隐蔽性，难以检测。
• 缺点：实现复杂，容易被安全软件检测到异常的文件修改。

安全风险：

• 恶意软件可能利用此技术，将恶意代码隐藏在看似无害的文件中。

4. WMI 事件订阅：静默的守护者

原理： Windows Management Instrumentation (WMI) 允许订阅系统事件，并在事件发生时执行脚本。这提供了一种隐蔽且持久的自启动方式。例如，我们可以监控用户登录事件，并在用户登录时执行 PowerShell 脚本。

代码示例：

# 创建 WMI 事件筛选器
$filterName = "MyLoginEventFilter"
$filterQuery = "SELECT * FROM __InstanceCreationEvent WITHIN 5 WHERE TargetInstance ISA 'Win32_LogonSession'"
$filter = New-Object System.Management.ManagementClass -ArgumentList "\\.\root\cimv2", "__EventFilter", $null
$filter.Name = $filterName
$filter.Query = $filterQuery
$filter.QueryLanguage = "WQL"
$filter.EventNamespace = "root\\cimv2"
$filter.Put()

# 创建 WMI 事件消费者
$consumerName = "MyPowerShellConsumer"
$consumer = New-Object System.Management.ManagementClass -ArgumentList "\\.\root\cimv2", "CommandLineEventConsumer", $null
$consumer.Name = $consumerName
$consumer.ExecutablePath = "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"
$consumer.CommandLineTemplate = "-NonInteractive -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File C:\Path\To\MyScript.ps1"
$consumer.Put()

# 绑定筛选器和消费者
$binding = New-Object System.Management.ManagementClass -ArgumentList "\\.\root\cimv2", "__FilterToConsumerBinding", $null
$binding.Filter = "__EventFilter.Name='$filterName'"
$binding.Consumer = "CommandLineEventConsumer.Name='$consumerName'"
$binding.Put()

# 删除 WMI 事件订阅（清理）
# Get-WmiObject -Namespace root\cimv2 -Class __FilterToConsumerBinding -Filter "Filter='__EventFilter.Name=\'$filterName\''" | Remove-WmiObject
# Get-WmiObject -Namespace root\cimv2 -Class CommandLineEventConsumer -Filter "Name='$consumerName'" | Remove-WmiObject
# Get-WmiObject -Namespace root\cimv2 -Class __EventFilter -Filter "Name='$filterName'" | Remove-WmiObject

优缺点：

• 优点：隐蔽性强，持久性好，不易被发现。
• 缺点：配置复杂，需要管理员权限。

安全风险：

• 恶意软件可能利用 WMI 事件订阅，在特定事件发生时执行恶意代码，例如窃取用户凭据。

5. 内存驻留与反分析：无影无踪的执行

原理： 将 PowerShell 脚本加载到内存中执行，避免在磁盘上留下痕迹，可以有效防止被分析。可以使用 [System.Reflection.Assembly]::Load() 等方法加载 PowerShell 代码到内存中。

代码示例：

# (需要C#编译支持)
# $sourceCode = @"
# using System;
# using System.Management.Automation;
# using System.Management.Automation.Runspaces;
#
# public class InMemoryExecutor {
#   public static void Execute(string script) {
#     using (PowerShell ps = PowerShell.Create()) {
#       ps.AddScript(script);
#       ps.Invoke();
#     }
#   }
# }
# "@
# Add-Type -TypeDefinition $sourceCode -Language CSharp
# [InMemoryExecutor]::Execute("Write-Host 'Hello from memory!'")

# 编译 C# 代码（需要先安装 .NET Framework SDK）
# C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /out:InMemoryExecutor.dll /target:library InMemoryExecutor.cs

# 加载 DLL 并执行 PowerShell 脚本
# [System.Reflection.Assembly]::LoadFile(".\\InMemoryExecutor.dll") | Out-Null
# [InMemoryExecutor]::Execute("Write-Host 'Hello from memory!'")

优缺点：

• 优点：极难检测，避免在磁盘上留下痕迹。
• 缺点：实现复杂，需要编译 C# 代码，对 PowerShell 运行环境有要求。

安全风险：

• 恶意软件可能利用内存驻留技术，执行恶意代码，并逃避安全软件的检测。

案例研究

2024 年，某 APT 组织利用 WMI 事件订阅，在目标系统上部署了一个 PowerShell 恶意脚本。该脚本监控用户登录事件，并在用户登录时窃取用户凭据。该攻击持续了数月之久，直到安全研究人员发现了异常的 WMI 事件订阅，才得以终止。

防御措施

1. 限制 PowerShell 执行策略： 谨慎设置 PowerShell 执行策略，避免过度放权。
2. 监控 WMI 事件订阅： 定期检查 WMI 事件订阅，发现异常订阅及时删除。
3. 启用 PowerShell 脚本审计： 启用 PowerShell 脚本审计，记录脚本执行日志，方便事后分析。
4. 使用防病毒软件： 安装并更新防病毒软件，及时检测和清除恶意 PowerShell 脚本。
5. 应用程序白名单：实施应用程序白名单策略，只允许授权的程序运行，阻止恶意PowerShell脚本的执行。

结论

PowerShell 脚本自启动，远不止“启动文件夹”那么简单。各种高级技巧层出不穷，安全风险不容忽视。作为安全研究人员，我们需要不断学习和探索，才能更好地保护系统安全。记住，真正的安全，不是依赖于某个工具，而是来自于对底层机制的深刻理解和持续的警惕。