如何使用Invoke-WmiMethod将调试器附加到进程？

Question

我有一个已在远程计算机上运行的进程，我想将调试器附加到该计算机上。 我想使用Invoke-WMIMethod，以便当我从该远程会话断开连接时，调试器将在后台保持与进程的连接。

到目前为止，我有：

$Qry = "Select * from Win32_Process where ProcessID like $ID"
$CimIO = Get-WMIObject -Query $Qry
Invoke-WMIMethod -InputObject $CimIO -Class Win32_Process -Name AttachDebugger -AsJob

我收到以下错误：

Invoke-WmiMethod : Parameter set cannot be resolved using the specified named parameters.
At line:1 char:1
+ Invoke-WmiMethod -InputObject $CimIO -Class Win32_process -Name Attac ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : InvalidArgument: (:) [Invoke-WmiMethod], ParameterBindingException
    + FullyQualifiedErrorId : AmbiguousParameterSet,Microsoft.PowerShell.Commands.InvokeWmiMethod

我在正确的轨道上吗？ 当我尝试使用Win32_Process的其他方法（例如GetOwner）时，出现了相同的错误消息。 这里发生了什么？

编辑：

也许我正在解决所有错误：我的理解是查询将返回一个指向正在运行的进程的指针，该指针随后可以用作Invoke-WmiMethod的输入对象。

Debug-Process要求已在计算机上下载并安装了单独的调试器，而默认情况下已安装“ AttachDebugger”作为方法（至少我认为是因为它位于Windows 10的全新副本中）。 我之所以只想使用内置方法，是因为我希望此脚本可在生产环境中使用，在该环境中我无法控制计算机上安装的内容。

我通过运行此处找到的脚本找到了该方法，该脚本找到了驻留在Win32_Process中的方法。 我使用Invoke-WmiMethod是因为调用-AsJob时，它将在要发送给调试器的进程所在的远程计算机上本地创建一个作业 。

感谢您的帮助，对于您的困惑，我们深表歉意：这是我第一个Powershell脚本的一部分。

用例如下：在SIEM环境中，用户看到网络上的程序可疑。 然后，用户远程登录到受害计算机，并通过将其发送给调试器来冻结可疑线程。 然后，用户注销，稍后将返回分析线程。 线程将保持冻结状态，直到该时间为止。

Answer 1

我个人从未尝试过或没有理由尝试使用此用例。

但是，AsJob用于长时间运行的任务。 您仅在查询以获得单个进程ID的列表，一旦提供了该列表，该工作就完成/停止/完成。

没有什么可依附的。 最后，您从何处获得此方法-AttachDebugger-？

没有使用Get-WmiObject或Invoke-WmiMethod cmdlet参数的方法。 那就是错误所在

您为什么不仅仅使用内置cmdlet来完成这项工作。

# get function / cmdlet details
(Get-Command -Name Debug-Process).Parameters
Get-help -Name Debug-Process -Examples
Get-help -Name Debug-Process -Full
Get-help -Name Debug-Process -Online