如何防止 PowerShell 中的变量注入？

@Ansgar Wiechers 对最近 PowerShell 问题的评论再次触发了我：DO NOT use Invoke-Expression关于一个安全问题，我已经在脑海中思考了很长时间并且需要问。

强烈的声明（参考调用表达式被认为是有害的文章）表明，调用可以覆盖变量的脚本被认为是有害的。

还有PS脚本分析器建议不要使用Invoke-Expression，参见避免使用InvokeExpression规则.

但我自己曾经使用过一种技术来更新递归脚本中的公共变量，该变量实际上可以覆盖其任何父作用域中的值，就像这样简单：

([Ref]$ParentVariable).Value = $NewValue

据我所知，潜在的恶意脚本可以使用此技术在任何情况下注入变量，无论它是如何调用的......

考虑以下“恶意”Inject.ps1 script:

([Ref]$MyValue).Value = 456
([Ref]$MyString).Value = 'Injected string'
([Ref]$MyObject).Value = [PSCustomObject]@{Name = 'Injected'; Value = 'Object'}

My Test.ps1 script:

$MyValue = 123
$MyString = "MyString"
$MyObject = [PSCustomObject]@{Name = 'My'; Value = 'Object'}
.\Inject.ps1
Write-Host $MyValue
Write-Host $MyString
Write-Host $MyObject

Result:

456
Injected string
@{Name=Injected; Value=Object}

正如您所看到的所有三个变量Test.ps1范围被覆盖Inject.ps1脚本。这也可以使用 Invoke-Command cmdlet 来完成，并且我是否将变量的范围设置为Private either:

New-Variable -Name MyValue -Value 123 -Scope Private
$MyString = "MyString"
$MyObject = [PSCustomObject]@{Name = 'My'; Value = 'Object'}
Invoke-Command {
    ([Ref]$MyValue).Value = 456
    ([Ref]$MyString).Value = 'Injected string'
    ([Ref]$MyObject).Value = [PSCustomObject]@{Name = 'Injected'; Value = 'Object'}
}
Write-Host $MyValue
Write-Host $MyString
Write-Host $MyObject

有没有办法完全隔离调用的脚本/命令以覆盖当前范围内的变量？
如果不是，这是否可以被视为以任何方式调用脚本的安全风险？

反对使用的建议Invoke-Expression使用主要是为了防止无意的执行代码（代码注入）。

如果您调用一段 PowerShell 代码 - 无论是直接调用还是通过Invoke-Expression- 它确实可以（可能是恶意的）操纵父作用域，包括全局作用域。
请注意，这种潜在的操纵并不限于变量： 例如，功能 and aliases也可以修改。

Caveat: 运行未知代码有问题在两个方面：

• Primarily for the potential to perform unwanted / destructive actions directly.^[1]
• 其次，对于潜力恶意修改调用者的state（变量，...），即the only请注意以下解决方案以防止.

提供期望的隔离，你有两个基本选择：

• 在a中运行代码child process:

  • 通过启动另一个 PowerShell 实例；例如（使用powershell代替pwsh在 Windows PowerShell 中）：

    • pwsh -c { ./someUntrustedScript.ps1 }

  • 通过启动一个后台工作; e.g.:

    • Start-Job { ./someUntrustedScript.ps1 } | Receive-Job -Wait -AutoRemove

• 在a中运行代码分离thread在同一过程中：

  • As a 线程作业，通过Start-ThreadJobcmdlet（随 PowerShell [Core] 6+ 一起提供；在 Windows PowerShell 中，可以安装来自 PowerShell 库与类似的东西
    Install-Module -Scope CurrentUser ThreadJob); e.g.:

    • Start-ThreadJob { ./someUntrustedScript.ps1 } | Receive-Job -Wait -AutoRemove

  • 通过创建一个新的运行空间通过 PowerShell SDK；例如。：

    • [powershell]::Create().AddScript('./someUntrustedScript.ps1').Invoke()
    • 请注意，您必须做额外的工作才能获取输出流other与成功的相比，特别是错误流的输出；还，.Dispose()命令完成后应在 PowerShell 实例上调用。

A 子进程基于 的解决方案将很慢并且在您可以返回的数据类型方面受到限制（由于涉及序列化/反序列化），但它提供了针对调用的代码使进程崩溃的隔离。

基于线程的作业速度要快得多，可以返回任何数据类型，但可能会使整个进程崩溃。

在所有情况下，您都必须从调用者传递被调用代码需要访问的任何值论点或者，使用后台作业和线程作业，或者通过$using:范围说明符。

js2010提到了其他不太理想的替代方案：

• Start-Process（基于子进程，带有纯文本参数和输出）

• PowerShell 工作流程，它们已过时（它们未移植到 PowerShellCore并且不会）。

• Using Invoke-Command与“环回远程处理”（-ComputerName localhost) 假设也是一种选择，但这样会带来子进程和基于 HTTP 的通信的双重开销；此外，您的计算机必须设置为远程处理，并且您必须以提升权限运行（以管理员身份）。

^{[1] A way to mitigate the problem is to limit which commands, statements, types, ... are permitted to be called when the string is evaluated, which can be achieved via the PowerShell SDK in combination with language modesand/or by explicitly constructing an initial session state. See this answer for an example of SDK use with language modes.}