powershell是.net写的，在powershell里可以执行.NET函数。
cmdlet：powershell命令
powershell命令格式通常是 动词-名词 的形式，常见动词如下：
- Get
- Start
- Stop
- Read
- Write
- New
- Out
Get-Help显示有关cmdlet 的信息，Get-Help Command-Name获取特定命令的帮助，在后面添加-examples展示示例。
Get-Help Get-Command -Examples
1.cmdlet可以使用通配符*
Get-Command New-* ：查看 动词 new 的 所有cmdlet
2.与其他 shell 相比，一个主要区别是 Powershell 将对象传递给下一个cmdlet，而不是将文本或字符串传递给管道之后的命令。与面向对象框架中的每个对象一样，对象将包含方法和属性。
Pipeline( |) 用于将输出从一个cmdlet传递 到另一个 cmdlet
Get-Command | Get-Member -MemberType Method
3.从之前的cmdlet创建对象
操作对象的一种方法是从cmdlet的输出中提取属性并创建新对象。这是使用Select-Object cmdlet 完成的。
Get-ChildItem | Select-Object -Property Mode, Name
在PowerShell中，Get-ChildItem cmdlet用于获取指定目录中的子项（文件和文件夹）。而Select-Object cmdlet用于选择对象的属性并将其显示出来。
通过将Get-ChildItem的输出管道传递给Select-Object，我们可以选择要显示的子项的属性。在这个例子中，我们选择了Mode和Name属性。
Mode属性表示子项的访问模式，它描述了文件或文件夹的权限和特性。例如，d表示目录（文件夹），-表示文件。
Name属性表示子项的名称，即文件或文件夹的名称。
通过执行Get-ChildItem | Select-Object -Property Mode, Name命令，我们将获取指定目录中的子项，并只显示每个子项的访问模式和名称。这样可以使结果更加简洁，并且只关注我们感兴趣的属性信息。
其中-operator是以下运算符的列表：
- -contains：如果属性值中的任何一项与指定值完全匹配
- -EQ：如果属性值与指定值相同
- -GT：如果属性值大于指定值
4.过滤对象
检索输出对象时，需要选择与非常特定的值匹配的对象。Where-Object用基于属性值的过滤器来执行此操作。
Verb-Noun | Where-Object -Property PropertyName -operator Value //一般格式
Get-Service | Where-Object -Property Status -eq Stopped ：检索已经停止的进程
5.排序对象
使用Verb-Noun | Sort-Object来排序
示例：
1.搜索一个名为test.txt的文件，不知道路径：
Get-ChildItem -Path C:\ -Include *test.txt* -File -Recurse -ErrorAction SilentlyContinueGet-ChildItem：获取指定目录的文件
-File 只返回文件为不是文件夹
-Recurse 递归查找
-ErrorAction SilentlyContinue 出错时仍然查找，比如遇上access denied不继续运行的时候。
2.系统上安装cmdlet的数量
Get-Command | Where-Object { $_.CommandType -eq “Cmdlet” } | Measure-Object //$_表示当前正在处理的对象
3.查找一个文件的hash值：
Get-FileHash -Path “C:\Program Files\interesting-file.txt.txt” -Algorithm MD5 ：-Algorithm 选项指定了要使用的哈希算法
4.获取当前工作目录：
Get-Location
5.查看是否存在某个文件：
Test-Path -Path “C:\Users\Administrator\Documents\Passwords\filename.txt”
6.对某个文件进行base64解密：
枚举：
1.拿到一个window操作系统的shell，可以通过powershell查看一下下面的信息，用于提权或者横向移动或者持久化。
- 用户
- 基本网络信息
- 文件权限
- 注册表权限
- 计划任务和运行任务
- 不安全的文件
1.用户：查看本机存在多少个用户
Get-LocalUser
2.查看sid是哪个用户的
Get-LocalUser -SID “S-1-5-21-1394777289-3961777894-1791813945-501”
3.查看多少个用户的密码所需值设置为false
Get-LocalUser | Where-Object -Property PasswordRequired -Match false
4.查看存在的本地组
Get-LocalGroup | measure
5.查看ip信息
Get-NetIPAddress
6.查看正在监听的端口
GEt-NetTCPConnection | Where-Object -Property State -Match Listen | measure
7.查看监听端口的远程地址
GEt-NetTCPConnection | Where-Object -Property State -Match Listen
