如何使用 PowerShell 扫描 Windows 系统安全漏洞-windows运维-PHP中文网

Sherlock是纯PowerShell编写的轻量级提权漏洞检测工具，可快速识别MS10-015至MS16-135等12+种Windows本地权限提升漏洞，支持一键扫描、文件版本检测和模块化扩展。

powershell 本身不是漏洞扫描器，但它能调用系统原生工具、读取安全配置、检查服务状态、导出策略信息，并运行像 sherlock 这类专为 windows 设计的 powershell 漏洞检测脚本。关键在于组合命令与可信脚本，而不是依赖单一命令。

Sherlock 是轻量、免安装、纯 PowerShell 的开源脚本，专注识别已知 Windows 提权路径（如 AlwaysInstallElevated、不安全的服务权限、令牌窃取条件等）。

从 GitHub 下载 Sherlock.ps1（确保来源可信，例如官方仓库 PowerShellMafia/PowerSploit 衍生项目）
以管理员身份启动 PowerShell，执行：
Set-ExecutionPolicy RemoteSigned -Scope CurrentUser
（允许本地脚本运行）
进入脚本所在目录，运行：
.\Sherlock.ps1 -ShowAll
或仅检查高风险项：
.\Sherlock.ps1 -CheckAll -OutFile sherlock_report.txt

很多漏洞源于配置疏漏，PowerShell 可快速验证关键项是否启用或合规。

查看 RDP 是否开启且未限制访问：
Get-ItemProperty 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name fDenyTSConnections | Select-Object fDenyTSConnections
返回 0 表示已启用，需确认是否设置了网络级别身份验证（NLA）
检查防火墙是否启用并有默认规则：
Get-NetFirewallProfile | Select-Object Name,Enabled
列出所有自动启动但非微软签名的服务：
Get-Service | Where-Object {$_.StartType -eq 'Automatic' -and $_.Status -eq 'Running'} | ForEach-Object { $svc = $_; try { Get-AuthenticodeSignature $svc.PathName } catch {} } | Where-Object {$_.Status -ne 'Valid'}

本地组策略（尤其是安全选项）直接影响系统抗攻击能力，如密码复杂度、账户锁定阈值、审核策略等。

Handsfree Windows Control

通过 handsfree-windows CLI控制 Windows 本机应用 (UIA) 和浏览器 (Playwright) 的引导技能，用于自动化或测试桌面应用。

下载

导出当前本地安全策略到文本文件：
secedit /export /cfg C:\temp\secpol.cfg /quiet
用 PowerShell 读取并筛选高风险项，例如空密码允许登录：
Select-String -Path C:\temp\secpol.cfg -Pattern "EnableGuestAccount|PasswordComplexity|MaximumPasswordAge"
检查审核策略是否启用关键事件（如特权使用、账户登录）：
auditpol /get /category:* | findstr "Success.*Failure"

恶意软件常是漏洞利用的入口或结果，配合防病毒扫描和日志可形成闭环验证。

触发一次完整 Defender 扫描：
Start-MpScan -ScanType FullScan
查询最近 50 条安全日志中的失败登录或特权提升事件：
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625,4670,4688} -MaxEvents 50 | Where-Object {$_.LevelDisplayName -eq 'Information' -or $_.LevelDisplayName -eq 'Warning'}
查看 Defender 实时保护是否启用：
Get-MpComputerStatus | Select-Object RealtimeProtectionEnabled, AMServiceEnabled, AntivirusEnabled