PowerShell技术问题求助：无交互设置变量方法及启动时自动生成$item变量的异常排查

哇，这个问题确实挺诡异的——不管加不加-NoProfile启动PowerShell，$item变量都自动存在，而且换用户、换可执行文件都没用，你已经做了这么多排查步骤，先给你点个赞！

先梳理一下你已经完成的排查动作，避免重复踩坑：

• 用-NoProfile参数启动PowerShell，问题依旧存在
• 检查了PowerShell加载的所有DLL，确认没有通过AppInit_DLLs侧加载的异常情况
• 替换了另一台正常机器的powershell.exe，问题仍未解决
• 切换到其他用户账户，该变量在对应进程中依然存在
• 枚举了PSDrive，未发现异常
• 用Process Explorer检查了进程环境变量，无相关线索
• 查看了所有$profile相关的配置文件（通过$profile | select *枚举），未找到变量来源

针对这种非常规的变量自动生成问题，给你几个额外的排查方向，你可以逐一尝试：

1. 检查PowerShell组策略配置
   组策略里可能存在针对PowerShell的全局启动脚本或变量设置，比如Computer Configuration\Administrative Templates\Windows Components\Windows PowerShell下的「Configure PowerShell startup policy」或相关脚本配置，同时也要检查用户级别的组策略。你可以用Get-GPO命令列出所有组策略，或者直接打开gpedit.msc手动查看是否有可疑的配置项。

2. 排查WMI事件订阅/触发器
   有些自定义配置或恶意软件会通过WMI事件触发器，在PowerShell启动时自动注入代码设置变量。你可以用以下命令排查可疑的事件订阅：

   Get-WmiObject -Namespace root\subscription -Class __EventFilter
   Get-WmiObject -Namespace root\subscription -Class CommandLineEventConsumer
   

   重点关注和PowerShell启动相关的触发器，以及对应的执行命令。

3. 查看$item变量的详细属性
   试试启动PowerShell时直接输出$item的完整属性，看看有没有线索：

   powershell.exe -NoProfile -NoExit -Command 'Get-Variable item -Force | Format-List *'
   

   重点看Options（是否为Constant/ReadOnly）、Description、Module等属性，说不定能找到变量的来源信息。

4. 用Process Monitor追踪启动过程
   用Process Monitor（ProcMon）记录PowerShell启动时的所有文件读取、注册表操作和进程行为，过滤powershell.exe进程后，搜索和「变量设置」「脚本执行」相关的操作，比如搜索字符串$item或Set-Variable，看看有没有读取可疑的脚本文件或修改注册表键值的行为。

5. 检查系统级PowerShell隐藏配置
   虽然你已经检查了$profile的所有变体，但可以再确认一下PowerShell安装目录下的系统全局配置文件：$PSHOME\profile.ps1和$PSHOME\Microsoft.PowerShell_profile.ps1，看看这些文件里有没有设置$item的代码（不过-NoProfile理论上会跳过这些，但特殊情况也有可能例外）。

6. 全面扫描恶意软件
   有些高级恶意软件不会通过AppInit_DLLs注入，而是用进程注入等方式。可以用Windows Defender做一次全面系统扫描，或者用Autoruns工具检查系统启动项、服务、计划任务里的可疑条目，看看有没有和PowerShell相关的异常启动项。

如果排查过程中发现新的细节，可以补充出来，大家一起帮你定位这个诡异的问题！

备注：内容来源于stack exchange，提问作者brandeded