从正在运行的进程解码 PowerShell 命令Decode a PowerShell command from a running process

本文内容

有时，您可能必须运行的进程什么占用了大量的资源的 PowerShell。可能的上下文中运行此过程任务计划程序作业或SQL Server 代理作业。其中有多个运行的 PowerShell 进程，它可能很难知道哪个进程表示问题。本文介绍如何对 PowerShell 进程当前正在运行的脚本块。

创建长时间运行进程Create a long running process

为了演示此方案中，打开新的 PowerShell 窗口并运行下面的代码。它将执行的 PowerShell 命令的输出 10 分钟内每隔一分钟的数字。

powershell.exe -Command {
    $i = 1
    while ( $i -le 10 )
    {
        Write-Output -InputObject $i
        Start-Sleep -Seconds 60
        $i++
    }
}

查看进程View the process

执行的 PowerShell 命令的正文存储在CommandLine的属性Win32_Process类。如果该命令是编码命令，则CommandLine属性包含字符串"EncodedCommand"。使用此信息，该编码的命令可以是通过以下过程取消模糊处理。

以管理员身份启动 PowerShell。非常重要，以管理员身份运行 PowerShell，否则不返回任何结果查询正在运行的进程时。

执行以下命令获取所有已编码的命令的 PowerShell 进程：

$powerShellProcesses = Get-CimInstance -ClassName Win32_Process -Filter 'CommandLine LIKE "%EncodedCommand%"'

以下命令创建包含进程 ID 和编码命令的自定义 PowerShell 对象。

$commandDetails = $powerShellProcesses | Select-Object -Property ProcessId,
@{
    name       = 'EncodedCommand'
    expression = {
        if ( $_.CommandLine -match 'encodedCommand (.*) -inputFormat' )
        {
            return $matches[1]
        }
    }
}

现在可以解码已编码的命令。以下代码片段循环访问命令的详细信息对象、 解码已编码的命令，并将解码后的命令添加回以便进一步进行调查的对象。

$commandDetails | ForEach-Object -Process {
    # Get the current process
    $currentProcess = $_
    # Convert the Base 64 string to a Byte Array
    $commandBytes = [System.Convert]::FromBase64String($currentProcess.EncodedCommand)
    # Convert the Byte Array to a string
    $decodedCommand = [System.Text.Encoding]::Unicode.GetString($commandBytes)
    # Add the decoded command back to the object
    $commandDetails |
        Where-Object -FilterScript { $_.ProcessId -eq $_.ProcessId } |
        Add-Member -MemberType NoteProperty -Name DecodedCommand -Value $decodedCommand
}
$commandDetails[0]

现在可以选择已解码的 command 属性来查看已解码的命令。

ProcessId      : 8752
EncodedCommand : IAAKAAoACgAgAAoAIAAgACAAIAAkAGkAIAA9ACAAMQAgAAoACgAKACAACgAgACAAIAAgAHcAaABpAGwAZQAgACgAIAAkAGkAIAAtAG
                 wAZQAgADEAMAAgACkAIAAKAAoACgAgAAoAIAAgACAAIAB7ACAACgAKAAoAIAAKACAAIAAgACAAIAAgACAAIABXAHIAaQB0AGUALQBP
                 AHUAdABwAHUAdAAgAC0ASQBuAHAAdQB0AE8AYgBqAGUAYwB0ACAAJABpACAACgAKAAoAIAAKACAAIAAgACAAIAAgACAAIABTAHQAYQ
                 ByAHQALQBTAGwAZQBlAHAAIAAtAFMAZQBjAG8AbgBkAHMAIAA2ADAAIAAKAAoACgAgAAoAIAAgACAAIAAgACAAIAAgACQAaQArACsA
                 IAAKAAoACgAgAAoAIAAgACAAIAB9ACAACgAKAAoAIAAKAA==
DecodedCommand :
                     $i = 1
                     while ( $i -le 10 )
                     {
                         Write-Output -InputObject $i
                         Start-Sleep -Seconds 60
                         $i++
                     }