3 votes

Risques de sécurité lors du contournement de la politique d'exécution dans PowerShell ?

Je sais que vous pouvez contourner la politique d'exécution actuelle dans PowerShell en passant -ExecutionPolicy Bypass en ligne de commande, mais à quoi cela sert-il réellement ?

Je sais qu'il permet l'exécution de scripts, mais je suppose qu'il empêche un utilisateur standard d'exécuter des cmdlets qui pourraient compromettre un système/réseau ?

Si vous vous demandez pourquoi je veux laisser les utilisateurs standard exécuter des scripts PowerShell, nous avons essentiellement une application sur le réseau qui a un certain nombre de commutateurs qui peuvent lui être passés. Parfois, l'utilisateur peut avoir besoin de modifier ces commutateurs. Je pense donc que PowerShell pourrait être la meilleure façon de procéder.

Le script ressemble à ceci :

$app = "C:\Path\To\Application.exe"
$path = "C:\Path\To\File.dat"
$switches = @('/switch1', '/switch2', '/switch3')

Start-Process $app "-File ""$path"" ""$switches"""

3voto

dan142 Points 1

Commençons par le défaut de base ExecutionPolicy qui est Restricted :

Restricted
1. Permits individual commands, but will not run scripts.
2. Prevents running of all script files, including formatting and configuration files (.ps1xml), module script files (.psm1), and Windows PowerShell profiles (.ps1).

Si vous contournez le ExecutionPolicy vous autoriserez l'exécution de tout script de Windows PowerShell, qu'il soit créé par quelqu'un en interne ou téléchargé...

Bypass
1. Nothing is blocked and there are no warnings or prompts.
2. This execution policy is designed for configurations in which a Windows PowerShell script is built in to a larger application or for configurations in which Windows PowerShell is the foundation for a program that has its own security model.

Il est probablement préférable de définir l'option ExecutionPolicy soit RemoteSigned (donc signer vos scripts PowerShell) ou Unrestricted (ce qui oblige ceux qui exécutent ce script à s'assurer que c'est le bon car ils recevront une popup).

Vous pouvez lire plus en profondeur chaque ExecutionPolicy sur le site de Microsoft sur_les_politiques_d'exécution article.

SistemesEz.com

SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

X