PowerShell脚本的基础知识
参考文档https://learn.microsoft.com/zh-cn/powershell/scripting/samples/viewing-object-structure--get-member-?view=powershell-7.3
什么是powershell
Powershell 是使用 .NET 框架构建的 Windows 脚本语言和 shell 环境。
这也允许 Powershell 直接从其 shell 执行 .NET 函数。大多数 Powershell 命令（称为cmdlet）是用 .NET 编写的。
与其他脚本语言和 shell 环境不同，这些cmdlet的输出 是对象——使 Powershell 有点面向对象。
这也意味着运行 cmdlet 允许您对输出对象执行操作（这使得将输出从一个cmdlet传递 到另一个变得很方便）。
cmdlet的正常格式使用Verb-Noun表示；例如，用于列出命令的cmdlet 被称为Get-Command.
基本的powershell命令
使用获取帮助
Get-Help Command-Name
可以通过使用-examples命令了解如何使用
例：Get-Help Get-Command -Examples
使用命令
Get-Command 获取当前计算机上安装的所有cmdlet，
Get-Command Verb* 或者 Get-Command *-Noun
例：Get-Command New-*
以查看动词 new 的所有cmdlet 显示
对象操作
每个cmdlet的输出如何 是一个对象。管道 (|) 用于将输出从一个cmdlet传递 到另一个
powershell 不是将文本或字符串传递给管道后的命令，而是将对象传递给下一个 cmdlet。
与面向对象框架中的每个对象一样，对象将包含方法和属性。您可以将方法视为可应用于 cmdlet 输出的函数，
您可以将属性视为 cmdlet 输出中的变量。要查看这些详细信息，请将cmdlet的输出传递 给 Get-Member cmdlet。
Get-Member cmdlet 向你显示对象类型的正式名称及其成员的完整列表。
例：Get-Command | Get-Member -MemberType Method
从上面命令中的标志可以看出，方法和属性之间进行的选择。
从cmdlet创建对象
操作对象的一种方法是从 cmdlet 的输出中提取属性并创建一个新对象。
这是使用Select-Object cmdlet 完成的。
这是列出目录并仅选择模式和名称的示例:
Get-ChildItem | Select-Object -Property Mode, Name
还可以使用以下标志来选择特定信息：
first - 获取第一个 x 对象
last - 获取最后一个 x 对象
unique - 显示独特的对象
skip - 跳过 x 个对象
过滤对象
检索输出对象时，您可能希望选择与特定值匹配的对象。Where-Object您可以使用基于属性值的过滤器来 执行此操作。
一般格式：
Verb-Noun | Where-Object -Property PropertyName -operator Value
Verb-Noun | Where-Object {$_.PropertyName -operator Value}
-operator为以下运算符：
-Contains：如果属性值中的任何项目与指定值完全匹配
-EQ：如果属性值与指定值相同
-GT：如果属性值大于指定值
例：检查已停止进程
Get-Service | Where-Object -Property Status -eq Stopped
排序对象
通过将cmdlet的输出通过管道连接 到Sort-Object cmdlet来执行此操作。
命令的格式是
Verb-Noun | Sort-Object
例：对目录列表进行排序
Get-ChildItem | Sort-Object
实例
文件“interesting-file.txt”的位置是什么
# 列出参数
(Get-Command Get-ChildItem).Parameters
使用Path参数
# 递归查找文件 -Name
Get-ChildItem -Path C:\ -Name *interesting-file.txt* -File -Recurse
或 -Include
# 递归查找文件 无提示错误消息-ErrorAction SilentlyContinue
Get-ChildItem -Path C:\ -Include *interesting-file.txt* -File -Recurse -ErrorAction SilentlyContinue
指定此文件的内容
命令+路径
Get-Content 文件路径
系统上安装了多少个 cmdlet（仅 cmdlet，不包括函数和别名）？
先获取参数名称
Get-Command | Select-Object -First 1
参数名称计数
Get-Command | Where-Object -Property CommandType -eq cmdlet | measure
或
Get-Command -CommandType cmdlet | measure
获取 interesting-file.txt 的 MD5 散列
找到指定hash函数：Get-Command *hash*
列表参数：
(Get-Command Get-FileHash).Parameters
执行命令
Get-FileHash -path "C:\Program Files\interesting-file.txt.txt" -Algorithm md5
获取当前工作目录的命令是什么？
查找
Get-Command *location*
得
Get-Location
路径“C:\Users\Administrator\Documents\Passwords”是否存在（是/否）？
Test-Path C:\Users\Administrator\Documents\Passwords
您将使用什么命令向 Web 服务器发出请求？
Get-Command *web*
得
Invoke-WebRequest
Windows 上的 Base64 解码文件 b64.txt
查找文件位置
Get-ChildItem -Path C:\ -Include *b64.txt* -File -Recurse -ErrorAction SilentlyContinue
解码文件与certutil.exe
certutil -decode "C:\Users\Administrator\Desktop\b64.txt" out.txt
然后读取
Get-Content out.txt
枚举
机器上有多少用户？
Get-LocalUser | measure
这个SID(S-1-5-21-1394777289-3961777894-1791813945-501)属于哪个本地用户？
列出参数列表
(Get-Command Get-LocalUser).Parameters
匹配
Get-LocalUser | Where-Object -Property SID -eq S-1-5-21-1394777289-3961777894-1791813945-501
或
Get-LocalUser -SID "S-1-5-21-1394777289-3961777894-1791813945-501"
有多少用户的密码要求值设置为 False？
列出属性
Get-LocalUser | Get-Menber
过滤结果
Get-LocalUser | Where-Object -Property PasswordRequired -Match false
存在多少本地组？
统计
Get-LocalGroup | measure
使用什么命令获取 IP 地址信息？
Get-NetIPAddress
有多少端口被列为侦听？
列出所有连接：Get-NetTCPConnection
查找参数：Get-NetTCPConnection | Get-Member
查找属性：GEt-NetTCPConnection | Format-List -Property State
统计结果：GEt-NetTCPConnection | Where-Object -Property State -Match Listen | measure
侦听端口 445 的本地端口的远程地址是什么？
GEt-NetTCPConnection | Where-Object -Property State -Match Listen
应用了多少补丁？
Get-Hotfix | measure
ID为KB4023834的补丁是什么时候安装的？
Get-HotFix | Where-Object -Property HotFixID -eq KB4023834
或
Get-Hotfix -Id KB4023834
查找备份文件的内容。
# 查找
Get-ChildItem -Path C:\ -Include *.bak* -File -Recurse -ErrorAction SilentlyContinue
# 输出
Get-Content 路径
搜索所有包含 API_KEY 的文件
Get-ChildItem C:\* -Recurse | Select-String -pattern API_KEY
您执行什么命令来列出所有正在运行的进程？
Get-Process
名为new-sched-task的定时任务的路径是什么？
列出任务：Get-ScheduleTask
查看任务：Get-ScheduleTask -TaskName new-sched-task
谁是 C:\ 的所有者
Get-Acl c:/
脚本编写
什么文件包含密码？
一个简单的字符串搜索：
Get-ChildItem -Path "C:\Users\Administrator\Desktop\emails\*" -Recurse | Select-String -Pattern password
改为脚本
$path = "C:\Users\Administrator\Desktop\emails\*"
$string_pattern = "password"
$command = Get-ChildItem -Path $path -Recurse | Select-String -Pattern $String_pattern
echo $command
哪些文件包含 HTTPS 链接？
$path = "C:\Users\Administrator\Desktop\emails\*"
$string_pattern = "https://"
$command = Get-ChildItem -Path $path -Recurse | Select-String -Pattern $String_pattern
echo $command
您在 130 到 140（包括这两个）之间找到了多少个开放端口？
for($i=130; $i -le 140; $i++){
Test-NetConnection localhost -Port $i
}
