面向红队的攻击性PowerShell与防御规避技术
本文深入探讨了红队成员如何利用PowerShell进行攻击性操作，并重点介绍了多种防御规避技术。内容涵盖了PowerShell的基本攻击手法、绕过安全检测的方法、以及在实际渗透测试中避免被端点防护系统拦截的技巧。文章旨在帮助安全研究人员和红队专家提升攻击效能，同时更好地理解防御机制的弱点。
背景速读
- 这篇文章面向的是"红队"（Red Team）成员——即受雇模拟真实攻击、测试企业防御体系的安全专家。与"蓝队"（防御方）相对，红队的核心任务是攻破系统，而 PowerShell 是他们最常用的武器之一。
- PowerShell 是 Windows 系统内置的脚本环境和命令行工具，本身是合法的管理工具，但攻击者常利用它来执行恶意代码、横向移动、窃取数据，因为它的能力强大且容易被系统信任。
- "防御绕过"（Defense Evasion）指的是红队或攻击者用来躲过杀毒软件、EDR（端点检测与响应系统）、日志审计等防御机制的技术。本文介绍的就是这类技术，比如混淆代码、使用内存执行等手段，让 PowerShell 脚本在目标机器上运行时不被拦截。
- 背景关键：微软近年来不断加强 PowerShell 的安全防护（如 AMSI——反恶意软件扫描接口、脚本块日志、约束语言模式等），这使得单纯的 PowerShell 攻击越来越容易被发现。因此，红队必须掌握更新的绕过手法，本文正是在这一攻防对抗背景下编写的实战指南。