攻击者的后门PowerShell从来不是用来做正事的。它藏在内存里，后门不落地文件，后门杀软扫不到硬盘，后门自然也就看不见它。后门2016年，后门卡巴斯基实验室曝光了一款名为“PowerShell Empire”的后门后门框架，攻击者只需一条命令，后门就能让目标机器乖乖听话——下载payload、后门执行恶意代码、后门把内存当作藏身之处。后门那之后，后门蓝队开始疯狂盯进程、后门查脚本日志，后门但攻击者早就不在乎了，后门因为他们发现，PowerShell本身就是一扇敞开的门。

真正的后门长什么样？举个例子。你在一台Windows服务器上留了个计划任务，每天凌晨三点运行一条PowerShell命令，指令是从一个看似无害的图片网站拉取一串Base64编码文本，解码后执行。整个过程没有exe文件，没有注册表持久化，甚至连恶意代码都不落盘。管理员打开任务计划程序，看到的只是一条“更新系统时间”的例行任务。谁会在意那个？除非他闲得慌去翻网络流量——可谁又真的天天翻？

更狠的玩法是利用PowerShell的远程管理功能（WinRM）。攻击者拿到一组合法凭证后，直接通过HTTP协议向目标机发送PowerShell命令，就像给自家服务器发指令一样自然。目标机上的WinRM服务默认开启，防火墙放行5985端口，日志记录得又少又模糊。你查不到“可疑进程”，因为根本没有新进程——PowerShell.exe本来就是系统组件，它运行得理直气壮。有个真实的案例：某金融机构被入侵三个月，期间攻击者每天用PowerShell导出内部邮件、抓取域控哈希，直到业务部门投诉“系统变卡了”，IT才注意到有一台服务器CPU持续飙高。查了半天，发现是一条PowerShell循环在疯狂调用.NET类库，而那条命令的源头，是两周前一个“系统管理员”的合法登录会话。

当然，PowerShell后门并非无解。微软后来加了日志记录（ScriptBlock Logging）、约束语言模式（Constrained Language Mode），甚至默认禁止了部分危险cmdlet。但道高一尺魔高一丈——攻击者开始用内存注入，把PowerShell代码藏进合法进程里，让日志只显示“powershell.exe -Command Write-Host 'hello'”。你看到的是问候语，实际跑的是一段Cobalt Strike的beacon。这就像快递盒子上写着“玻璃制品”，里面装的却是炸药。

说句实话，防御方永远在追着攻击者的影子跑。你堵住了计划任务，他改用WMI事件订阅；你监控了WinRM，他直接调用.NET的System.Management.Automation命名空间，绕过所有命令行入口。PowerShell后门之所以顽固，不是因为它技术多高超，而是因为它利用的是系统天生的信任——Windows信任自己的脚本引擎，管理员信任自己的登录会话，而攻击者只需要把这两份信任捏合在一起。

最后提醒一句：如果你在服务器上看到一条PowerShell命令，它调用了Invoke-Expression，参数是一长串看不懂的字符，别犹豫，拔网线，然后叫蓝队的人来。别想着先“观察一下”，那玩意儿可能正在把内存里的代码一段段往你的域控上搬。你多等一分钟，它就多搬一截。