https://pastein.ru/t/s3M
Загрузка данных
Windows PowerShell
(C) Корпорация Майкрософт (Microsoft Corporation). Все права защищены.
Попробуйте новую кроссплатформенную оболочку PowerShell (https://aka.ms/pscore6)
PS C:\Users\Администратор> Write-Host "=== ПРОВЕРКА ЗАГРУЖЕННОГО КУСТА (HKLM\TempHive) ===" -ForegroundColor Cyan
>>
>> Write-Host "`n--- Policies\System ---" -ForegroundColor Yellow
>> Get-ItemProperty "HKLM:\TempHive\Software\Microsoft\Windows\CurrentVersion\Policies\System" | Format-List
>>
>> Write-Host "--- Policies\Explorer ---" -ForegroundColor Yellow
>> Get-ItemProperty "HKLM:\TempHive\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" | Format-List
>>
>> Write-Host "--- Policies\Command Prompt ---" -ForegroundColor Yellow
>> Get-Item "HKLM:\TempHive\Software\Microsoft\Windows\CurrentVersion\Policies\Command Prompt" -ErrorAction SilentlyContinue | Select-Object -ExpandProperty Property
>>
>> Write-Host "`n=== ПРОВЕРКА HKLM (машина) ===" -ForegroundColor Cyan
>>
>> Write-Host "`n--- Policies\System ---" -ForegroundColor Yellow
>> Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System" | Format-List
>>
>> Write-Host "--- Policies\Explorer ---" -ForegroundColor Yellow
>> Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" | Format-List
>>
>> Write-Host "--- Policies\Command Prompt ---" -ForegroundColor Yellow
>> Get-Item "HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\Command Prompt" -ErrorAction SilentlyContinue | Select-Object -ExpandProperty Property
>>
>> Write-Host "`n=== ПРОВЕРКА HKCU (текущий пользователь - Администратор) ===" -ForegroundColor Cyan
>>
>> Write-Host "`n--- Policies\System ---" -ForegroundColor Yellow
>> Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Policies\System" | Format-List
>>
>> Write-Host "--- Policies\Explorer ---" -ForegroundColor Yellow
>> Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" | Format-List
>>
>> Write-Host "--- Policies\Command Prompt ---" -ForegroundColor Yellow
>> Get-Item "HKCU:\Software\Microsoft\Windows\CurrentVersion\Policies\Command Prompt" -ErrorAction SilentlyContinue | Select-Object -ExpandProperty Property
>>
>> Write-Host "`n=== ПОИСК ЗАПРЕТОВ ПО ВСЕМУ РЕЕСТРУ ===" -ForegroundColor Cyan
>>
>> Write-Host "`n--- Поиск DisableCMD в HKLM ---" -ForegroundColor Yellow
>> Get-ChildItem "HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies" -Recurse -ErrorAction SilentlyContinue | ForEach-Object {
>> $path = $_.PSPath
>> $props = Get-ItemProperty -Path $path -ErrorAction SilentlyContinue
>> if ($props.DisableCMD -eq 1) { Write-Host "НАЙДЕН: $path -> DisableCMD=1" -ForegroundColor Red }
>> if ($props.NoControlPanel -eq 1) { Write-Host "НАЙДЕН: $path -> NoControlPanel=1" -ForegroundColor Red }
>> if ($props.NoRun -eq 1) { Write-Host "НАЙДЕН: $path -> NoRun=1" -ForegroundColor Red }
>> if ($props.DisableTaskMgr -eq 1) { Write-Host "НАЙДЕН: $path -> DisableTaskMgr=1" -ForegroundColor Red }
>> }
>>
>> Write-Host "`n--- Поиск DisableCMD в загруженном кусте TempHive ---" -ForegroundColor Yellow
>> Get-ChildItem "HKLM:\TempHive\Software\Microsoft\Windows\CurrentVersion\Policies" -Recurse -ErrorAction SilentlyContinue | ForEach-Object {
>> $path = $_.PSPath
>> $props = Get-ItemProperty -Path $path -ErrorAction SilentlyContinue
>> if ($props.DisableCMD -eq 1) { Write-Host "НАЙДЕН: $path -> DisableCMD=1" -ForegroundColor Red }
>> if ($props.NoControlPanel -eq 1) { Write-Host "НАЙДЕН: $path -> NoControlPanel=1" -ForegroundColor Red }
>> if ($props.NoRun -eq 1) { Write-Host "НАЙДЕН: $path -> NoRun=1" -ForegroundColor Red }
>> if ($props.DisableTaskMgr -eq 1) { Write-Host "НАЙДЕН: $path -> DisableTaskMgr=1" -ForegroundColor Red }
>> }
>>
>> Write-Host "`n=== ПРОВЕРКА ПОДОЗРИТЕЛЬНЫХ ПРОЦЕССОВ ===" -ForegroundColor Cyan
>> Get-Process | Where-Object { $_.Name -match "agent|guard|monitor|control|restrict|lock|protect|shield|defend|secure|filter|block|parent|family|child|school|class|exam|teach|edu" } | Select-Object Name, Id, Description, Company | Format-Table -AutoSize
>>
>> Write-Host "`n=== ПРОВЕРКА СЛУЖБ, СВЯЗАННЫХ С ОГРАНИЧЕНИЯМИ ===" -ForegroundColor Cyan
>> Get-Service | Where-Object { $_.Name -match "agent|guard|monitor|control|restrict|lock|protect|parent|family|child" } | Select-Object Name, DisplayName, Status | Format-Table -AutoSize
>>
>> Write-Host "`n=== ПРОВЕРКА АВТОЗАГРУЗКИ (РЕЕСТР) ===" -ForegroundColor Cyan
>> Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" | Format-List
>> Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run" | Format-List
>>
>> Write-Host "`n=== ГОТОВО ===" -ForegroundColor Green
=== ПРОВЕРКА ЗАГРУЖЕННОГО КУСТА (HKLM\TempHive) ===
--- Policies\System ---
Get-ItemProperty : Не удается найти путь "HKLM:\TempHive\Software\Microsoft\Windows\CurrentVersion\Policies\System", та
к как он не существует.
строка:4 знак:1
+ Get-ItemProperty "HKLM:\TempHive\Software\Microsoft\Windows\CurrentVe ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : ObjectNotFound: (HKLM:\TempHive\...Policies\System:String) [Get-ItemProperty], ItemNotFo
undException
+ FullyQualifiedErrorId : PathNotFound,Microsoft.PowerShell.Commands.GetItemPropertyCommand
--- Policies\Explorer ---
Get-ItemProperty : Не удается найти путь "HKLM:\TempHive\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer",
так как он не существует.
строка:7 знак:1
+ Get-ItemProperty "HKLM:\TempHive\Software\Microsoft\Windows\CurrentVe ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : ObjectNotFound: (HKLM:\TempHive\...licies\Explorer:String) [Get-ItemProperty], ItemNotFo
undException
+ FullyQualifiedErrorId : PathNotFound,Microsoft.PowerShell.Commands.GetItemPropertyCommand
--- Policies\Command Prompt ---
=== ПРОВЕРКА HKLM (машина) ===
--- Policies\System ---
ConsentPromptBehaviorAdmin : 5
ConsentPromptBehaviorUser : 3
DSCAutomationHostEnabled : 2
EnableCursorSuppression : 1
EnableFullTrustStartupTasks : 2
EnableInstallerDetection : 1
EnableSecureUIAPaths : 1
EnableUIADesktopToggle : 0
EnableUwpStartupTasks : 2
EnableVirtualization : 1
PromptOnSecureDesktop : 1
SupportFullTrustStartupTasks : 1
SupportUwpStartupTasks : 1
ValidateAdminCodeSignatures : 0
EnableLUA : 0
dontdisplaylastusername : 0
legalnoticecaption :
legalnoticetext :
scforceoption : 0
shutdownwithoutlogon : 1
undockwithoutlogon : 1
PSPath : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curren
tVersion\Policies\System
PSParentPath : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curren
tVersion\Policies
PSChildName : System
PSDrive : HKLM
PSProvider : Microsoft.PowerShell.Core\Registry
--- Policies\Explorer ---
ForceActiveDesktopOn : 0
NoActiveDesktop : 1
NoActiveDesktopChanges : 1
NoRecentDocsHistory : 0
SettingsPageVisibility : hide:cortana;privacy-automaticfiledownloads
PSPath : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersi
on\Policies\Explorer
PSParentPath : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersi
on\Policies
PSChildName : Explorer
PSDrive : HKLM
PSProvider : Microsoft.PowerShell.Core\Registry
--- Policies\Command Prompt ---
=== ПРОВЕРКА HKCU (текущий пользователь - Администратор) ===
--- Policies\System ---
Get-ItemProperty : Не удается найти путь "HKCU:\Software\Microsoft\Windows\CurrentVersion\Policies\System", так как он
не существует.
строка:26 знак:1
+ Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Pol ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : ObjectNotFound: (HKCU:\Software\...Policies\System:String) [Get-ItemProperty], ItemNotFo
undException
+ FullyQualifiedErrorId : PathNotFound,Microsoft.PowerShell.Commands.GetItemPropertyCommand
--- Policies\Explorer ---
NoDriveTypeAutoRun : 145
PSPath : Microsoft.PowerShell.Core\Registry::HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Po
licies\Explorer
PSParentPath : Microsoft.PowerShell.Core\Registry::HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Po
licies
PSChildName : Explorer
PSDrive : HKCU
PSProvider : Microsoft.PowerShell.Core\Registry
--- Policies\Command Prompt ---
=== ПОИСК ЗАПРЕТОВ ПО ВСЕМУ РЕЕСТРУ ===
--- Поиск DisableCMD в HKLM ---
--- Поиск DisableCMD в загруженном кусте TempHive ---
=== ПРОВЕРКА ПОДОЗРИТЕЛЬНЫХ ПРОЦЕССОВ ===
Name Id Description Company
---- -- ----------- -------
SearchFilterHost 13428 Microsoft Windows Search Filter Host Microsoft Corporation
=== ПРОВЕРКА СЛУЖБ, СВЯЗАННЫХ С ОГРАНИЧЕНИЯМИ ===
Name DisplayName Status
---- ----------- ------
DialogBlockingService DialogBlockingService Stopped
PolicyAgent Агент политики IPsec Running
ssh-agent OpenSSH Authentication Agent Stopped
UevAgentService Служба виртуализации взаимодействия с пользователем Stopped
=== ПРОВЕРКА АВТОЗАГРУЗКИ (РЕЕСТР) ===
SecurityHealth : C:\WINDOWS\system32\SecurityHealthSystray.exe
PSPath : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
PSParentPath : Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion
PSChildName : Run
PSDrive : HKLM
PSProvider : Microsoft.PowerShell.Core\Registry
YandexBrowserAutoLaunch_ECDD6029C5CCE0A7929A253137E11B62 : "C:\Program Files\Yandex\YandexBrowser\Application\browser.e
xe" --no-startup-window --atlogin-bgr-mark /prefetch:5
MicrosoftEdgeAutoLaunch_FFBC0C4C8F28BBA2DFD10D307A538E97 : "C:\Program Files (x86)\Microsoft\Edge\Application\msedge.ex
e" --win-session-start
PSPath : Microsoft.PowerShell.Core\Registry::HKEY_CURRENT_USER\Softwa
re\Microsoft\Windows\CurrentVersion\Run
PSParentPath : Microsoft.PowerShell.Core\Registry::HKEY_CURRENT_USER\Softwa
re\Microsoft\Windows\CurrentVersion
PSChildName : Run
PSDrive : HKCU
PSProvider : Microsoft.PowerShell.Core\Registry
=== ГОТОВО ===
PS C:\Users\Администратор>