Powershell のセキュリティ (大都会ver)

Powershell のセキュリティ

Transcript

1. Powershell のセキュリティ @tsuda_ahr 2015/5/16 の懇親会
2. 自己紹介
3. NemCa はこんな感じ 合点がいかない！ この人のせい！！
4. バズったコンテンツ
5. そして #ハレ婚 の日にこんな記事が出ていてびびる http://internet.watch.impress.co.jp/docs/special/20150307_691658.html
6. インターネット怖い! ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ (((( ；ﾟДﾟ))
7. ちなみに私のブログで参照された記事の上位…（汗
8. さて本題
9. 約半年前、こんな会議が大都会でありました
10. そこで聞いた Powershell 話。 • ほとんど忘れましたけど。
11. 簡単に言うと • 個人PCのセキュリティが厳しくなりました。 • Windows 7 で UAC で縛り。 しかし Admin 権限がないので、解除できず。 • UAC を操作するには上司の立ち合いが必要。 • IDE とか入れられないのでプログラム組めない。 • ファイルのコピーすら満足に自動化できんじゃん？ • そうだ、Windows なら Powershell があるんじゃね？ という流れだった気がする。
12. やってみよう
13. .¥test.ps1 を実行
14. 拒否られる
15. Set-ExecutionPolicy -ExecutionPolicy RemoteSigned
16. やっぱり拒否られる
17. 要するにファイル指定で スクリプト実行するためには 管理者権限を強いられる！
18. オワタ ＼(^o^)／
19. ここまでが、忘年会議での話。
20. しかし、手入力する分には 実行できるよね？
21. そう、手入力はOKなわけです。
22. ということは ファイル指定で実行しなければ いける！
23. しかし毎度コマンドを 入力するのは面倒すぎる
24. そこで Function の活用ですよ！
25. こんな風にスクリプトを function にまとめておく function test() { Get-Process } function test2($a) { Write-Host "hello $a!" } test.ps1
26. Powershell を起動したときにコピペ！
27. あとは function を実行すれば繰り返しいける！
28. 権限の範囲で 楽しい スクリプトライフを!
29. ・・・
30. そうじゃない！
31. やっぱりファイル単位で整理して、 ファイル単位で指定したい！
32. たとえばこんなスクリプトファイルがある $a = $args[0] Get-Process | ? { $_.CPU -ge $a } | select Cpu, ProcessName, MainWindowTitle, Path | sort cpu -Descending | ogv getHeavtProcess.ps1 ここがコマンドラインパラメーター
33. こうあってほしいが・・・
34. 当然、現実はこう (汗
35. そこでこんなバッチファイルを作る powershell -command "$a=gc -raw %1; $a='{'+$a+"'}'; $b=Invoke-Expression $a; $b.Invoke(%2); pause;" psexec.bat
36. するとこう！ コマンドプロンプト
37. バッチファイル経由で Powershell Script が 起動できた！
38. バッチファイルでやっていること。 Powershell ① -command ② " $a=gc -raw %1; ③ $a='{'+$a+'}'; ④ $b=Invoke-Expression $a;⑤ $b.Invoke(%2); ⑥ pause; ⑦ " ①Powershellを起動する ②-command オプションで Scriptを 渡す。 ③第一引数に指定したファイルをテ キストで読み込む。 ④スクリプトブロックにするので { } で囲む。 ⑤文字列をスクリプトブロックとし て評価する。 ⑥スクリプトブロックの実行。 %2 をパラメーターとして渡す。 ⑦確認待ち。
39. 結果、生成・実行される Powershell Script $a='{$a = $args[0] Get-Process | ? { $_.CPU -ge $a } | select Cpu, ProcessName, MainWindowTitle, Path | sort cpu -Descending | ogv}'; $b=Invoke-Expression $a; $b.Invoke(10); pause; いわゆる eval
40. セキュリティとは 一体なんだったのか！
41. 権限の範囲で 楽しい スクリプトライフを!
42. ここまでが、LT駆動 #10 (2015/1) での話。
43. ここから OSO 2015 懇親会ver の懇親会
44. powershell -ExecutionPolicy RemoteSigned そもそも、そんな謎な事しなくても・・・ Powershell の起動オプションを指定でいけるよ！
45. 普通に使える！
46. いままでの苦労はなんだったのか ＿|￣|◦
47. しかも、3年前にヒーロー島でその話聞いてた（汗 https://twitter.com/tsuda_ahr/status/183366319545131008
48. 結論 みんな Powershell を使おう！
49. ご清聴ありがとうございました