绕过powshell调用保护机制

0x01 简介

​ forfiles 是一款 windows 平台自带软件工具，其中选择文件并运行一个命令来操作文件。命令说明符支持一些特殊的语法选项。它可以直接在命令行中使用，也可以在批处理文件或其他脚本中使用。

FORFILES [/P pathname] [/M searchmask] [/S] 

 [/C command] [/D [+ | -] {yyyy/MM/dd | dd}]

描述:

选择一个文件(或一组文件)并在那个文件上

执行一个命令。这有助于批处理作业。

参数列表:

/P   pathname    表示开始搜索的路径。默认文件夹是当前工作的目录 (.)。

  /M   searchmask   根据搜索掩码搜索文件。默认搜索掩码是 '*'。

  /S        指导 forfiles 递归到子目录。像 "DIR /S"。

  /C   command    表示为每个文件执行的命令。命令字符串应该用双引号括起来。

​            默认命令是 "cmd /c echo @file"。下列变量

​            可以用在命令字符串中:

​            @file   - 返回文件名。

​            @fname  - 返回不带扩展名的文件名。

​            @ext   - 只返回文件的扩展名。

​            @path   - 返回文件的完整路径。

​            @relpath - 返回文件的相对路径。

​            @isdir  - 如果文件类型是目录，返回 "TRUE"；

​                  如果是文件，返回 "FALSE"。

​            @fsize  - 以字节为单位返回文件大小。

​            @fdate  - 返回文件上一次修改的日期。

​            @ftime  - 返回文件上一次修改的时间。

​            要在命令行包括特殊字符，字符请以 0xHH

​            形式使用十六进制代码(例如，0x09 为 tab)。

​            内部 CMD.exe 命令前面应以 "cmd /c" 开始。

  /D   date      选择文件，其上一次修改日期大于或等于 (+)，

​            或者小于或等于 (-) 用 "yyyy/MM/dd" 格式指定的日期;

​            "yyyy/MM/dd" format; or selects files with a

​            当前日期加 "dd" 天，或者小于或等于 (-) 当前

​            日期减 "dd" 天。有效的 "dd" 天数可以是

​            0 - 32768 范围内的任何数字。如果没有指定，

​            "+" 被当作默认符号。

  /?          显示此帮助消息。

示例:

  FORFILES /?

  FORFILES

  FORFILES /P C:\WINDOWS /S /M DNS*.*

  FORFILES /S /M *.txt /C "cmd /c type @file | more"

  FORFILES /P C:\ /S /M *.bat

  FORFILES /D -30 /M *.exe

​       /C "cmd /c echo @path 0x09 在 30 前就被更改。"

  FORFILES /D 2001/01/01

​       /C "cmd /c echo @fname 在 2001年1月1日就是新的。"

  FORFILES /D +2018/2/1 /C "cmd /c echo @fname 今天是新的。"

  FORFILES /M *.exe /D +1

  FORFILES /S /M *.doc /C "cmd /c echo @fsize"

  FORFILES /M *.txt /C "cmd /c if @isdir==FALSE notepad.exe @file"

0x02 模糊调用

1、在cmd 终端中，借用 forfiles 调用 powershell ：

forfiles /p %COMSPEC:~0,19% /s /c "@file" /m po*l.*e

2、添加 powershell 的指令参数，以实现不同的参数功能，这里以-c参数举例：

forfiles /p %COMSPEC:~0,19% /s /c "cmd /c @file -c get-host" /m po*l.*e