Powershell изначально отключен.Почему осторожный администратор может оставить его отключенным?

Question

Powershell по умолчанию изначально отключен, предположительно из соображений безопасности.

Когда я прошу включить его, чтобы я мог его использовать, администраторы осторожно предпринимают действия, которые могут сделать сервер более уязвимым, и, как следствие, он не включен, и меня оставляют ждать.

Разумеется, у Microsoft плохая репутация в области безопасности и что отключение функции в теории, вероятно, более безопасно, чем ее включение, но это происходит с чем угодно.

Является ли Powershell более опасным, чем его следует бояться больше, чем любой другой язык сценариев Windows?

Answer 1

Powershell имеет дополнительные функции безопасности.Взгляните на политики выполнения - http://msdn.microsoft.com/en-us/library/dd347641.aspx (или запустите get-help about_execution_policies)

Сценарии - это очень мощный инструмент, но его можно использовать в злонамеренных целях.Для защиты пользовательских данных и целостности операционной системы Windows PowerShell включает несколько функций безопасности, среди которых - политика выполнения.

http://msdn.microsoft.com/en-us/library/bb648601(v=vs.85).aspx

Таким образом, по умолчанию вы не можете удвоитьнажмите на сценарии и введите их в консоли, чтобы запустить их.И вы можете контролировать, могут ли сценарии выполняться и какие сценарии для этого тоже.

Кроме того, в Powershell вы не сможете создавать сценарии / запускать команды, для которых у вас нет других прав, как установленоадминистратор.Если вы не можете отключить брандмауэр из графического интерфейса, скажем, из-за того, что у вас нет необходимых привилегий, вы также не сможете сделать это из Powershell.

Powershell также позаимствовал у себя рекомендации по безопасности из других источников.Вы не можете выполнить скрипт или другой исполняемый файл, который не находится в пути, просто указав имя скрипта или exe-имя.Вы должны использовать что-то вроде .\script.ps1 - для запуска.Это потому, что в отличие от CMD, текущий каталог не находится в пути , очень похоже на то, что вы увидите в * nix.Это гарантирует, что любой вредоносный скрипт, помещенный в текущий каталог, не сможет переопределить встроенные команды, такие как dir, и вызвать вредные последствия.

Answer 2

В дополнение к тому, что @manojlds указал на хорошую статью для оформления заказа.

Дон Джонс формулирует это так: " Это не более опасно, чем все остальное ."

Безопасность с помощью PowerShell может фактически контролироваться групповой политикой (упомянутые политики выполнения @manojlds упомянуты).На самом деле вы увидите, что он включен по умолчанию, когда вы доберетесь до Window Server 2008 R2.Затем ряд продуктов Microsoft устанавливают и включают его для вас (Exchange 2010, SharePoint 2010, SQL Server 2008 R2).Я должен сказать, что Microsoft значительно улучшила свой послужной список с PowerShell.