Блог

У меня есть приведенный ниже скрипт PowerShell (myscript.ps1), в котором я запрашиваю имя пользователя и пароль. В зависимости от имени пользователя и пароля он копирует файл в определенное место назначения.

 $credentials = Get-Credential
if ($credentials.Username -eq "user1" -And $credentials.GetNetworkCredential().password -eq "pass1") 
{ Copy-Item "test1.pdf" "testtest1.pdf"; } 
else 
{ Copy-Item "test2.pdf" "testtest2.pdf"; }
  

Требование: я хочу сделать этот файл защищенным, чтобы никто не мог его редактировать и видеть имя пользователя и пароль.

PS2EXE

Я нашел решение, найденное здесь, которое преобразует сценарий PowerShell в .exe файл. При первоначальном запуске сценария с помощью PowerShell появляется диалоговое окно, позволяющее ввести имя пользователя и пароль:

После создания .exe и при его запуске диалоговое окно учетных данных больше не отображается. Вместо этого на консоли появляется надпись «Учетные данные:»

Я не знаю, почему? Я хочу, чтобы форма учетных данных по-прежнему отображалась при запуске exe. Какие-нибудь мысли, пожалуйста?

Вопрос: Почему EXE запрашивает «Учетные данные»?

Это не ответ на реальный вопрос и основано на догадках о PS2EXE, но я надеюсь, что это полезно для устранения некоторой путаницы.

После краткого просмотра страницы PS2EXE, на которую дана ссылка выше, кажется, что эта утилита кодирует скрипт в Base64 и связывает его с облегченным (?) пользовательским хостом PowerShell. При запуске, я полагаю, EXE запускает хост, декодирует скрипт и запускает его.

Проблема в том, что Get-Credential командлет выполняется на узле PS, который, вероятно, не может взаимодействовать с рабочим столом. То есть он не может отправить запрос GUI для ввода учетных данных. Поэтому ему необходимо запросить свойство Credential в командной строке, объясняя, почему вы видите такое поведение.

Обходной путь с помощью Read-Host?

Вместо того, чтобы пытаться использовать Get-Credential запрос имени пользователя и пароля, вы могли бы использовать то, что, похоже, делает PS2EXE, и просто использовать Read-Host :

 $UserName = Read-Host "Enter username"
$Password = Read-Host "Enter password" -AsSecureString

$Credentials = New-Object System.Management.Automation.PSCredential $UserName,$Password

if ($credentials.Username -eq "user1" -And $credentials.GetNetworkCredential().password -eq "pass1") 
{ ... }
  

Использование -AsSecureString скроет пароль на экране. Переменная $Password будет иметь тип System.Security.SecureString , который можно использовать для создания объекта PSCredential, как показано.

Вам нужно было бы протестировать это, но, похоже, вы можете читать из командной строки, но не из приглашения GUI.

И просто для ясности: ничто из этого и близко не подходит к передовой практике обеспечения безопасности. Если вам требуется проверка подлинности / авторизация для этих действий, сделайте шаг назад и посмотрите на проблему еще раз.

Обходной путь с двумя сценариями?

Похоже, что PS2EXE не поддерживает -AsSecureString так же, как обычный PowerShell, то есть он не скрывает символы. Возможным обходным путем для этого было бы собрать имя пользователя и пароль от пользователя в одном скрипте, а затем передать их в скрипт, преобразованный в PS2EXE, для обработки.

Запуск-MyScript.ps1:

 $Credentials = Get-Credential
amp; MyScript.exe $Credentials.Username $Credentials.Password
  

MyScript.exe (скрыто с помощью PS2EXE):

 param($Username,$Password)

$Credentials = New-Object System.Management.Automation.PSCredential $Username,$Password

if ($Credentials.Username -eq "user1" -and
  $Credentials.GetNetworkCredential().password -eq "pass1")
{
  ...
}
  

Пользователь запускает Launch-MyScript.ps1 и завершает запрос пароля. Затем исполняемый файл запускается автоматически с именем пользователя и паролем, переданными в качестве аргументов. Обратите внимание, что, как показано выше, пароль представляет собой защищенную строку. Протестируйте это; я не использую PS2EXE, так что на данный момент это теоретическое решение.

Если вы не можете передать $Password по конвейеру в виде защищенного строкового объекта, вы можете преобразовать его в текст с помощью ConvertFrom-SecureString в первом скрипте, затем преобразовать его обратно с помощью ConvertTo-SecureString во втором.

Согласно этой статье http://windowsitpro.com/powershell/protect-your-powershell-scripts сначала вам следует установить для политики выполнения ur значение AllSigned с помощью Set-ExecutionPolicy AllSigned, затем создать сертификат с помощью командлета makecert.

Затем вы можете подписать отдельный скрипт с помощью командлета Set-AuthenticodeSignature или использовать файл .pfx для подписи скрипта, который кажется еще более безопасным.

Надеюсь, это немного поможет.