利用WMIC调用XSL文件进行系统信息分析与安全审计的实战指南

引言：WMIC与XSL文件的结合应用

在Windows系统管理和安全审计领域，WMIC（Windows Management Instrumentation Command-line）是一个功能强大的命令行工具，它允许管理员查询和修改系统配置。当WMIC与XSL（可扩展样式表语言）文件结合使用时，能够实现系统信息的格式化输出和自动化分析，这对于系统信息分析和安全审计具有重要意义。

WMIC是Windows系统内置的管理工具，它通过WMI（Windows Management Instrumentation）接口访问系统资源。WMI是微软提供的一个统一的管理框架，允许管理员通过统一的接口管理本地或远程计算机的硬件、软件和操作系统组件。WMIC作为WMI的命令行接口，提供了简单易用的命令来执行各种管理任务。

XSL是一种用于转换XML文档的语言，它包括XSLT（转换）、XPath（查询）和XSL-FO（格式化对象）。在WMIC的上下文中，XSL主要用于格式化WMIC查询结果，将原始的XML输出转换为更易读的格式，如HTML、CSV或纯文本。这种转换不仅提高了数据的可读性，还便于后续的自动化处理和分析。

WMIC调用XSL文件的工作原理是：WMIC首先执行WMI查询获取系统信息，生成XML格式的输出，然后应用XSLT样式表将XML转换为所需的格式。这个过程可以通过命令行参数直接完成，也可以通过脚本自动化执行。

WMIC基础：命令语法与核心概念

要有效利用WMIC调用XSL文件，首先需要理解WMIC的基本语法和核心概念。WMIC命令的基本结构如下：

wmic [/<format>] [/<namespace>]/<class> [/<property>] [/<where clause>] [/<format>]

其中：

/<format>：指定输出格式，如/FORMAT、/TRANSLATE等
/<namespace>：指定WMI命名空间，默认为root\cimv2
/<class>：WMI类名，如Process、Service、ComputerSystem等
/<property>：要查询的属性，如Name、ProcessId等
/<where clause>：筛选条件，如”Name=‘explorer.exe’”
/<format>：输出格式，可以使用XSL文件进行自定义格式化

常见的WMI类包括：

Win32_Process：进程信息
Win32_Service：服务信息
Win32_OperatingSystem：操作系统信息
Win32_ComputerSystem：计算机系统信息
Win32_LogicalDisk：逻辑磁盘信息
Win32_NetworkAdapter：网络适配器信息
Win32_StartupCommand：启动命令信息
Win32_Registry：注册表信息

XSL文件基础：结构与语法

XSL（可扩展样式表语言）是用于转换XML文档的语言。在WMIC的上下文中，XSL主要用于将WMIC生成的XML输出转换为更易读的格式。

XSLT（XSL Transformations）是XSL的核心部分，它定义了如何将XML文档转换为其他格式。一个基本的XSLT文档包含以下元素：

<xsl:stylesheet>：根元素，声明XSLT版本和命名空间
<xsl:template>：定义转换模板
<xsl:value-of>：提取XML元素的值
<xsl:for-each>：循环处理多个元素
<xsl:if>、<xsl:choose>：条件判断

XPath是XSL中用于在XML文档中导航和选择节点的语言。常见的XPath表达式包括：

/root/element：选择根元素下的element
//element：选择文档中所有element
element[@attribute='value']：选择具有特定属性值的element
element[text()='value']：选择文本内容为特定值的element

实战1：创建自定义XSL文件格式化系统信息

让我们通过一个实际的例子来演示如何创建XSL文件来格式化WMIC查询结果。假设我们需要获取系统中所有正在运行的进程信息，并以HTML表格形式展示。

首先，我们创建一个XSL文件（processes.xsl）：

<?xml version="1.0" encoding="UTF-8"?>
<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:output method="html" encoding="UTF-8"/>
    
    <xsl:template match="/">
        <html>
            <head>
                <title>系统进程信息</title>
                <style>
                    body { font-family: Arial, sans-serif; margin: 20px; }
                    h1 { color: #333; }
                    table { border-collapse: collapse; width: 100%; }
                    th, td { border: 1px solid #ddd; padding: 8px; text-align: left; }
                    th { background-color: #4CAF50; color: white; }
                    tr:nth-child(even) { background-color: #f2f2f2; }
                    tr:hover { background-color: #ddd; }
                </style>
            </head>
            <body>
                <h1>系统进程信息</h1>
                <table>
                    <tr>
                        <th>进程名称</th>
                        <th>进程ID</th>
                        <th>可执行路径</th>
                        <th>命令行</th>
                        <th>内存使用(KB)</th>
                        <th>启动时间</th>
                    </tr>
                    <xsl:for-each select="COMMAND/PROCESS">
                        <tr>
                            <td><xsl:value-of select="NAME"/></td>
                            <td><xsl:value-of select="PROCESSID"/></td>
                            <td><xsl:value-of select="EXECUTABLEPATH"/></td>
                            <td><xsl:value-of select="COMMANDLINE"/></td>
                            <td><xsl:value-of select="WORKINGSETSIZE"/></td>
                            <td><xsl:value-of select="CREATIONDATE"/></td>
                        </tr>
                    </xsl:for-each>
                </table>
            </body>
        </html>
    </xsl:template>
</xsl:stylesheet>

然后，使用WMIC命令调用这个XSL文件：

wmic process get name,processid,executablepath,commandline,workingsetsize,creationdate /format:"processes.xsl" > processes.html

这个命令会：

查询所有进程的指定属性
应用processes.xsl样式表进行格式化
将结果保存为processes.html文件

打开生成的HTML文件，你将看到一个格式美观的表格，包含所有进程的详细信息。

实战2：安全审计中的应用 - 检测可疑进程

安全审计的一个重要方面是检测系统中的可疑或恶意进程。我们可以创建一个XSL文件来突出显示潜在的安全风险。

创建security_audit.xsl：

<?xml version="1.0" encoding="UTF-8"?>
<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:output method="html" encoding="UTF-8"/>
    
    <xsl:template match="/">
        <html>
            <head>
                <title>安全审计 - 可疑进程检测</title>
                <style>
                    body { font-family: Arial, sans-serif; margin: 20px; }
                    h1 { color: #d9534f; }
                    table { border-collapse: collapse; width: 100%; }
                    th, td { border: 1px solid #ddd; padding: 8px; text-align: left; }
                    th { background-color: #337ab7; color: white; }
                    .suspicious { background-color: #f2dede; color: #a94442; font-weight: bold; }
                    .normal { background-color: #dff0d8; }
                    .warning { background-color: #fcf8e3; }
                </style>
            </head>
            <body>
                <h1>安全审计 - 可疑进程检测</h1>
                <p>检测时间：<xsl:value-of select="COMMAND/HEADER/TIMESTAMP"/></p>
                <table>
                    <tr>
                        <th>进程名称</th>
                        <th>进程ID</th>
                        <th>可执行路径</th>
                        <th>命令行</th>
                        <th>内存使用(KB)</th>
                        <th>风险等级</th>
                    </tr>
                    <xsl:for-each select="COMMAND/PROCESS">
                        <xsl:variable name="riskLevel">
                            <xsl:call-template name="checkRisk">
                                <xsl:with-param name="name" select="NAME"/>
                                <xsl:with-param name="path" select="EXECUTABLEPATH"/>
                                <xsl:with-param name="cmdline" select="COMMANDLINE"/>
                            </xsl:call-template>
                        </xsl:variable>
                        <tr>
                            <xsl:attribute name="class">
                                <xsl:choose>
                                    <xsl:when test="$riskLevel='High'">suspicious</xsl:when>
                                    <xsl:when test="$riskLevel='Medium'">warning</xsl:when>
                                    <xsl:otherwise>normal</xsl:otherwise>
                                </xsl:choose>
                            </xsl:attribute>
                            <td><xsl:value-of select="NAME"/></td>
                            <td><xsl:value-of select="PROCESSID"/></td>
                            <td><xsl:value-of select="EXECUTABLEPATH"/></td>
                            <td><xsl:value-of select="COMMANDLINE"/></td>
                            <td><xsl:value-of select="WORKINGSETSIZE"/></td>
                            <td><xsl:value-of select="$riskLevel"/></td>
                        </tr>
                    </xsl:for-each>
                </table>
                <h2>风险指标说明</h2>
                <ul>
                    <li><strong>High:</strong> 进程名称可疑（如svch0st.exe）、路径异常（如Temp目录下的可执行文件）、命令行包含可疑参数</li>
                    <li><strong>Medium:</strong> 进程名称拼写接近系统进程、路径包含可疑关键词</li>
                    <li><strong>Low:</strong> 正常系统进程</li>
                </ul>
            </body>
        </html>
    </xsl:template>
    
    <xsl:template name="checkRisk">
        <xsl:param name="name"/>
        <xsl:param name="path"/>
        <xsl:param name="cmdline"/>
        
        <xsl:choose>
            <!-- 检查进程名称伪装 -->
            <xsl:when test="contains($name, 'svch0st') or contains($name, 'lsasss') or contains($name, 'expl0rer')">
                <xsl:text>High</xsl:text>
            </xsl:when>
            <!-- 检查临时目录执行 -->
            <xsl:when test="contains($path, 'Temp') and not(contains($path, 'Windows\Temp'))">
                <xsl:text>High</xsl:text>
            </xsl:when>
            <!-- 检查可疑命令行参数 -->
            <xsl:when test="contains($cmdline, 'powershell') and contains($cmdline, 'EncodedCommand')">
                <xsl:text>High</xsl:text>
            </xsl:when>
            <!-- 检查无路径进程 -->
            <xsl:when test="string-length($path)=0">
                <xsl:text>Medium</xsl:text>
            </xsl:when>
            <!-- 检查可疑路径 -->
            <xsl:when test="contains($path, 'AppData') and not(contains($path, 'Microsoft'))">
                <xsl:text>Medium</xsl:text>
            </xsl:when>
            <!-- 默认正常 -->
            <xsl:otherwise>
                <xsl:text>Low</xsl:text>
            </xsl:otherwise>
        </xsl:choose>
    </xsl:template>
</xsl:stylesheet>

使用命令执行安全审计：

wmic process get name,processid,executablepath,commandline,workingsetsize /format:"security_audit.xsl" > security_audit.html

这个XSL文件会自动分析每个进程的风险等级，并用不同颜色标记：

红色背景：高风险进程
黄色背景：中等风险进程
绿色背景：正常进程

实战3：多维度系统信息收集与分析

除了进程信息，我们还可以收集多个维度的系统信息，并通过XSL进行综合分析。以下是一个综合性的XSL文件，用于收集和分析系统关键信息：

创建system_audit.xsl：

<?xml version="1.0" encoding="UTF-8"?>
<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:output method="html" encoding="UTF-8"/>
    
    <xsl:template match="/">
        <html>
            <head>
                <title>综合系统审计报告</title>
                <style>
                    body { font-family: 'Segoe UI', Tahoma, Geneva, Verdana, sans-serif; margin: 20px; background-color: #f5f5f5; }
                    .container { max-width: 1200px; margin: 0 auto; background: white; padding: 20px; border-radius: 8px; box-shadow: 0 2px 4px rgba(0,0,0,0.1); }
                    h1 { color: #2c3e50; border-bottom: 3px solid #3498db; padding-bottom: 10px; }
                    h2 { color: #2980b9; margin-top: 30px; }
                    .section { margin-bottom: 30px; }
                    table { border-collapse: collapse; width: 100%; margin: 15px 0; }
                    th, td { border: 1px solid #ddd; padding: 12px; text-align: left; }
                    th { background-color: #3498db; color: white; }
                    tr:nth-child(even) { background-color: #f8f9fa; }
                    .alert { background-color: #f8d7da; border-left: 4px solid #dc3545; padding: 15px; margin: 15px 0; }
                    .warning { background-color: #fff3cd; border-left: 4px solid #ffc107; padding: 15px; margin: 15px 0; }
                    .info { background-color: #d1ecf1; border-left: 4px solid #17a2b8; padding: 15px; margin: 15px 0; }
                    .summary { background: linear-gradient(135deg, #667eea 0%, #764ba2 100%); color: white; padding: 20px; border-radius: 8px; margin: 20px 0; }
                    .metric { display: inline-block; background: rgba(255,255,255,0.2); padding: 10px 15px; margin: 5px; border-radius: 4px; }
                </style>
            </head>
            <body>
                <div class="container">
                    <h1>综合系统审计报告</h1>
                    
                    <!-- 系统摘要 -->
                    <div class="summary">
                        <h2>系统摘要</h2>
                        <div class="metric">主机名: <xsl:value-of select="COMMAND/COMPUTERSYSTEM/NAME"/></div>
                        <div class="metric">操作系统: <xsl:value-of select="COMMAND/OPERATINGSYSTEM/CAPTION"/></div>
                        <div class="metric">版本: <xsl:value-of select="COMMAND/OPERATINGSYSTEM/VERSION"/></div>
                        <div class="metric">架构: <xsl:value-of select="COMMAND/OPERATINGSYSTEM/OSARCHITECTURE"/></div>
                    </div>
                    
                    <!-- 安全警报 -->
                    <xsl:if test="COMMAND/SECURITY_ALERTS/ALERT">
                        <div class="alert">
                            <h3>安全警报</h3>
                            <ul>
                                <xsl:for-each select="COMMAND/SECURITY_ALERTS/ALERT">
                                    <li><xsl:value-of select="."/></li>
                                </xsl:for-each>
                            </ul>
                        </div>
                    </xsl:if>
                    
                    <!-- 启动程序分析 -->
                    <div class="section">
                        <h2>启动程序分析</h2>
                        <xsl:choose>
                            <xsl:when test="COMMAND/STARTUPCOMMANDS/COMMAND">
                                <table>
                                    <tr>
                                        <th>名称</th>
                                        <th>命令</th>
                                        <th>位置</th>
                                        <th>风险评估</th>
                                    </tr>
                                    <xsl:for-each select="COMMAND/STARTUPCOMMANDS/COMMAND">
                                        <xsl:variable name="risk">
                                            <xsl:call-template name="evaluateStartupRisk">
                                                <xsl:with-param name="command" select="COMMAND"/>
                                                <xsl:with-param name="location" select="LOCATION"/>
                                            </xsl:call-template>
                                        </xsl:variable>
                                        <tr>
                                            <xsl:attribute name="style">
                                                <xsl:choose>
                                                    <xsl:when test="$risk='High'">background-color: #f8d7da;</xsl:when>
                                                    <xsl:when test="$risk='Medium'">background-color: #fff3cd;</xsl:when>
                                                </xsl:choose>
                                            </xsl:attribute>
                                            <td><xsl:value-of select="NAME"/></td>
                                            <td><xsl:value-of select="COMMAND"/></td>
                                            <td><xsl:value-of select="LOCATION"/></td>
                                            <td><xsl:value-of select="$risk"/></td>
                                        </tr>
                                    </xsl:for-each>
                                </table>
                            </xsl:when>
                            <xsl:otherwise>
                                <div class="info">未找到启动程序</div>
                            </xsl:otherwise>
                        </xsl:choose>
                    </div>
                    
                    <!-- 服务分析 -->
                    <div class="section">
                        <h2>服务分析</h2>
                        <table>
                            <tr>
                                <th>服务名称</th>
                                <th>状态</th>
                                <th>启动类型</th>
                                <th>可执行路径</th>
                            </tr>
                            <xsl:for-each select="COMMAND/SERVICES/SERVICE[STATE='Running']">
                                <tr>
                                    <td><xsl:value-of select="NAME"/></td>
                                    <td><xsl:value-of select="STATE"/></td>
                                    <td><xsl:value-of select="STARTMODE"/></td>
                                    <td><xsl:value-of select="PATHNAME"/></td>
                                </tr>
                            </xsl:for-each>
                        </table>
                    </div>
                    
                    <!-- 网络连接分析 -->
                    <div class="section">
                        <h2>网络连接分析</h2>
                        <table>
                            <tr>
                                <th>进程ID</th>
                                <th>进程名称</th>
                                <th>本地地址</th>
                                <th>远程地址</th>
                                <th>状态</th>
                            </tr>
                            <xsl:for-each select="COMMAND/NETWORKCONNECTIONS/CONNECTION">
                                <tr>
                                    <td><xsl:value-of select="PROCESSID"/></td>
                                    <td><xsl:value-of select="PROCESSNAME"/></td>
                                    <td><xsl:value-of select="LOCALADDRESS"/>:<xsl:value-of select="LOCALPORT"/></td>
                                    <td><xsl:value-of select="REMOTEADDRESS"/>:<xsl:value-of select="REMOTEPORT"/></td>
                                    <td><xsl:value-of select="STATE"/></td>
                                </tr>
                            </xsl:for-each>
                        </table>
                    </div>
                    
                    <!-- 系统完整性检查 -->
                    <div class="section">
                        <h2>系统完整性检查</h2>
                        <xsl:if test="COMMAND/INTEGRITY_CHECKS/CHECK">
                            <table>
                                <tr>
                                    <th>检查项</th>
                                    <th>状态</th>
                                    <th>详情</th>
                                </tr>
                                <xsl:for-each select="COMMAND/INTEGRITY_CHECKS/CHECK">
                                    <tr>
                                        <td><xsl:value-of select="NAME"/></td>
                                        <td>
                                            <xsl:choose>
                                                <xsl:when test="STATUS='PASS'">✅ 通过</xsl:when>
                                                <xsl:when test="STATUS='FAIL'">❌ 失败</xsl:when>
                                                <xsl:otherwise>⚠️ 警告</xsl:otherwise>
                                            </xsl:choose>
                                        </td>
                                        <td><xsl:value-of select="DETAIL"/></td>
                                    </tr>
                                </xsl:for-each>
                            </table>
                        </xsl:if>
                    </div>
                </div>
            </body>
        </html>
    </xsl:template>
    
    <xsl:template name="evaluateStartupRisk">
        <xsl:param name="command"/>
        <xsl:param name="location"/>
        
        <xsl:choose>
            <xsl:when test="contains($command, 'powershell') and contains($command, 'EncodedCommand')">High</xsl:when>
            <xsl:when test="contains($command, 'cmd.exe') and contains($command, '/c')">Medium</xsl:when>
            <xsl:when test="contains($location, 'HKLM') and contains($command, 'reg')">Medium</xsl:when>
            <xsl:when test="contains($location, 'Temp')">High</xsl:when>
            <xsl:otherwise>Low</xsl:otherwise>
        </xsl:choose>
    </xsl:template>
</xsl:stylesheet>

要使用这个综合审计XSL，我们需要先创建一个批处理脚本来收集所有必要的信息，然后生成一个包含所有数据的XML文件：

@echo off
setlocal enabledelayedexpansion

echo ^<?xml version="1.0" encoding="UTF-8"?^> > system_audit.xml
echo ^<COMMAND^> >> system_audit.xml

:: 收集计算机系统信息
echo ^<COMPUTERSYSTEM^> >> system_audit.xml
wmic computersystem get name /format:rawxml >> system_audit.xml 2>nul
echo ^</COMPUTERSYSTEM^> >> system_audit.xml

:: 收集操作系统信息
echo ^<OPERATINGSYSTEM^> >> system_audit.xml
wmic os get caption,version,osarchitecture /format:rawxml >> system_audit.xml 2>nul
echo ^</OPERATINGSYSTEM^> >> system_audit.xml

:: 收集启动程序信息
echo ^<STARTUPCOMMANDS^> >> system_audit.xml
wmic startupcommand get name,command,location /format:rawxml >> system_audit.xml 2>nul
echo ^</STARTUPCOMMANDS^> >> system_audit.xml

:: 收集服务信息
echo ^<SERVICES^> >> system_audit.xml
wmic service where "state='Running'" get name,state,startmode,pathname /format:rawxml >> system_audit.xml 2>nul
echo ^</SERVICES^> >> system_audit.xml

:: 收集网络连接信息
echo ^<NETWORKCONNECTIONS^> >> system_audit.xml
wmic process where "executablepath is not null" get processid,executablepath /format:rawxml > temp.xml 2>nul
:: 这里简化处理，实际应用中需要更复杂的网络连接收集
echo ^</NETWORKCONNECTIONS^> >> system_audit.xml

:: 添加安全警报示例
echo ^<SECURITY_ALERTS^> >> system_audit.xml
echo ^<ALERT^>检测到可疑启动项^</ALERT^> >> system_audit.xml
echo ^</SECURITY_ALERTS^> >> system_audit.xml

:: 添加完整性检查示例
echo ^<INTEGRITY_CHECKS^> >> system_audit.xml
echo ^<CHECK^>^<NAME^>系统文件完整性^</NAME^>^<STATUS^>PASS^</STATUS^>^<DETAIL^>关键系统文件未被修改^</DETAIL^>^</CHECK^> >> system_audit.xml
echo ^</INTEGRITY_CHECKS^> >> system_audit.xml

echo ^</COMMAND^> >> system_audit.xml

:: 应用XSL转换
wmic process call transform xsl="system_audit.xsl" input="system_audit.xml" output="system_audit_report.html" 2>nul

if exist system_audit_report.html (
    echo 审计报告已生成: system_audit_report.html
    start system_audit_report.html
) else (
    echo 生成报告时出错，请检查XSL文件和XML数据
)

注意：上面的批处理脚本是一个简化版本，实际应用中需要更复杂的XML构建逻辑。在实际操作中，更简单的方法是直接使用WMIC的多类查询功能，或者使用PowerShell来收集数据并生成XML。

实战4：自动化安全审计脚本

为了定期执行安全审计，我们可以创建一个完整的自动化脚本，该脚本会：

收集系统信息
应用XSL转换
生成报告
发送警报（如果发现高风险项目）

创建一个PowerShell脚本 Invoke-SecurityAudit.ps1：

# PowerShell脚本：自动化系统安全审计
# 功能：收集系统信息，应用XSL转换，生成HTML报告

param(
    [string]$OutputPath = "C:\SecurityAudit",
    [string]$XSLPath = "C:\SecurityAudit\security_audit.xsl",
    [switch]$SendEmail,
    [string]$SMTPServer = "smtp.example.com",
    [string]$EmailTo = "admin@example.com"
)

# 创建输出目录
if (!(Test-Path $OutputPath)) {
    New-Item -ItemType Directory -Path $OutputPath -Force
}

# 生成时间戳
$timestamp = Get-Date -Format "yyyyMMdd_HHmmss"
$xmlFile = Join-Path $OutputPath "audit_$timestamp.xml"
$htmlFile = Join-Path $OutputPath "audit_$timestamp.html"
$logFile = Join-Path $OutputPath "audit_$timestamp.log"

# 日志函数
function Write-Log {
    param([string]$Message, [string]$Level = "INFO")
    $logEntry = "$(Get-Date -Format 'yyyy-MM-dd HH:mm:ss') [$Level] $Message"
    Write-Host $logEntry
    Add-Content -Path $logFile -Value $logEntry
}

Write-Log "开始系统安全审计"

# 收集进程信息并生成XML
Write-Log "收集进程信息..."
$processes = Get-WmiObject -Class Win32_Process | Select-Object Name, ProcessId, ExecutablePath, CommandLine, WorkingSetSize, CreationDate

# 构建XML内容
$xmlContent = @"
<?xml version="1.0" encoding="UTF-8"?>
<COMMAND>
    <HEADER>
        <TIMESTAMP>$(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')</TIMESTAMP>
        <HOSTNAME>$($env:COMPUTERNAME)</HOSTNAME>
    </HEADER>
    <PROCESSES>
"@

foreach ($proc in $processes) {
    $xmlContent += @"
        <PROCESS>
            <NAME>$([System.Security.SecurityElement]::Escape($proc.Name))</NAME>
            <PROCESSID>$($proc.ProcessId)</PROCESSID>
            <EXECUTABLEPATH>$([System.Security.SecurityElement]::Escape($proc.ExecutablePath))</EXECUTABLEPATH>
            <COMMANDLINE>$([System.Security.SecurityElement]::Escape($proc.CommandLine))</COMMANDLINE>
            <WORKINGSETSIZE>$($proc.WorkingSetSize)</WORKINGSETSIZE>
            <CREATIONDATE>$($proc.CreationDate)</CREATIONDATE>
        </PROCESS>
"@
}

$xmlContent += @"
    </PROCESSES>
</COMMAND>
"@

# 保存XML文件
$xmlContent | Out-File -FilePath $xmlFile -Encoding UTF8
Write-Log "XML文件已保存: $xmlFile"

# 检查XSL文件是否存在
if (!(Test-Path $XSLPath)) {
    Write-Log "XSL文件未找到: $XSLPath" -Level "ERROR"
    exit 1
}

# 使用WMIC进行XSL转换
Write-Log "应用XSL转换..."
$wmicCommand = "wmic process call transform xsl=`"$XSLPath`" input=`"$xmlFile`" output=`"$htmlFile`""
try {
    $result = cmd /c $wmicCommand 2>&1
    if ($LASTEXITCODE -eq 0) {
        Write-Log "XSL转换成功"
    } else {
        Write-Log "XSL转换失败: $result" -Level "ERROR"
        # 如果WMIC转换失败，使用PowerShell进行XSLT转换
        Write-Log "尝试使用PowerShell进行XSLT转换..."
        try {
            $xslt = New-Object System.Xml.Xsl.XslCompiledTransform
            $xslt.Load($XSLPath)
            $xslt.Transform($xmlFile, $htmlFile)
            Write-Log "PowerShell XSLT转换成功"
        } catch {
            Write-Log "PowerShell XSLT转换失败: $($_.Exception.Message)" -Level "ERROR"
            exit 1
        }
    }
} catch {
    Write-Log "转换过程异常: $($_.Exception.Message)" -Level "ERROR"
    exit 1
}

# 分析结果并检测高风险项目
Write-Log "分析审计结果..."
$highRiskFound = $false
$highRiskDetails = @()

# 读取HTML内容进行分析
if (Test-Path $htmlFile) {
    $htmlContent = Get-Content $htmlFile -Raw
    
    # 检查高风险标记
    if ($htmlContent -match 'class="suspicious"') {
        $highRiskFound = $true
        $highRiskDetails += "检测到高风险进程"
    }
    
    # 检查可疑进程名称
    $suspiciousNames = @('svch0st', 'lsasss', 'expl0rer', 'rund1132')
    foreach ($name in $suspiciousNames) {
        if ($htmlContent -match $name) {
            $highRiskFound = $true
            $highRiskDetails += "检测到可疑进程名称: $name"
        }
    }
    
    # 检查临时目录执行
    if ($htmlContent -match 'Temp.*\.exe') {
        $highRiskFound = $true
        $highRiskDetails += "检测到临时目录执行的可执行文件"
    }
}

# 如果发现高风险，发送邮件警报
if ($highRiskFound -and $SendEmail) {
    Write-Log "检测到高风险项目，准备发送警报邮件..." -Level "WARNING"
    
    $emailBody = @"
安全审计警报

检测时间: $(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')
主机名: $env:COMPUTERNAME

检测到以下高风险项目:
$($highRiskDetails | ForEach-Object { "- $_" })

详细报告请查看附件。

此邮件由自动化安全审计系统生成。
"@
    
    try {
        Send-MailMessage -To $EmailTo -From "security-audit@$env:COMPUTERNAME" -Subject "安全审计警报: $env:COMPUTERNAME" -Body $emailBody -SmtpServer $SMTPServer -Attachments $htmlFile
        Write-Log "警报邮件已发送"
    } catch {
        Write-Log "发送邮件失败: $($_.Exception.Message)" -Level "ERROR"
    }
}

# 生成总结报告
$summary = @"
审计总结
========

审计时间: $(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')
主机名: $env:COMPUTERNAME
输出目录: $OutputPath

生成的文件:
- XML数据: $(Split-Path $xmlFile -Leaf)
- HTML报告: $(Split-Path $htmlFile -Leaf)
- 日志文件: $(Split-Path $logFile -Leaf)

风险状态: $(if($highRiskFound){'高风险 detected ⚠️'}else{'正常 ✅'})

$(if($highRiskFound){
    "检测到的风险项目:
    $($highRiskDetails | ForEach-Object { "- $_" })"
})

建议操作:
$(if($highRiskFound){
    "1. 立即检查HTML报告中的高风险进程
    2. 隔离可疑文件
    3. 进行深入调查"
} else {
    "1. 定期运行此审计脚本
    2. 保持系统更新
    3. 监控异常行为"
})
"@

Write-Log $summary
Write-Log "审计完成，报告已保存到: $OutputPath"

# 打开HTML报告
if (Test-Path $htmlFile) {
    Write-Log "正在打开HTML报告..."
    Start-Process $htmlFile
}

这个PowerShell脚本提供了完整的自动化解决方案，包括：

数据收集
XML生成
XSL转换
风险分析
邮件警报
报告生成

实战5：远程系统审计

WMIC支持远程系统管理，这使得我们可以对网络中的多台计算机进行集中审计。

创建远程审计脚本 RemoteAudit.ps1：

# 远程系统审计脚本
param(
    [string[]]$ComputerNames,
    [string]$CredentialPath = "C:\SecurityAudit\credentials.xml",
    [string]$XSLPath = "C:\SecurityAudit\security_audit.xsl"
)

# 加载凭据
if (Test-Path $CredentialPath) {
    $credential = Import-Clixml $CredentialPath
} else {
    $credential = Get-Credential -Message "输入远程系统管理员凭据"
    $credential | Export-Clixml $CredentialPath
}

foreach ($computer in $ComputerNames) {
    Write-Host "正在审计计算机: $computer" -ForegroundColor Cyan
    
    try {
        # 使用WMIC远程执行
        $wmicCommand = "wmic /node:`"$computer`" /user:`"$($credential.UserName)`" /password:`"$($credential.GetNetworkCredential().Password)`" process get name,processid,executablepath,commandline /format:`"$XSLPath`""
        
        $outputFile = "C:\SecurityAudit\remote_audit_$computer.html"
        cmd /c $wmicCommand > $outputFile 2>&1
        
        if (Test-Path $outputFile) {
            Write-Host "审计完成: $computer" -ForegroundColor Green
        } else {
            Write-Host "审计失败: $computer" -ForegroundColor Red
        }
        
    } catch {
        Write-Host "连接失败: $computer - $($_.Exception.Message)" -ForegroundColor Red
    }
}

重要安全提示：在使用远程WMIC时，请注意：

使用最小权限原则
启用Windows防火墙规则（WMI例外）
考虑使用WinRM替代WMIC进行远程管理
定期轮换凭据

实战6：高级XSL技巧与性能优化

6.1 使用XSL参数化

通过XSL参数，可以创建更灵活的转换模板：

<?xml version="1.0" encoding="UTF-8"?>
<xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform">
    <xsl:param name="riskThreshold" select="'Medium'"/>
    <xsl:param name="reportTitle" select="'系统安全审计报告'"/>
    
    <xsl:template match="/">
        <html>
            <head>
                <title><xsl:value-of select="$reportTitle"/></title>
            </head>
            <body>
                <h1><xsl:value-of select="$reportTitle"/></h1>
                <p>风险阈值: <xsl:value-of select="$riskThreshold"/></p>
                <!-- 其他内容 -->
            </body>
        </html>
    </xsl:template>
</xsl:stylesheet>

使用参数化XSL：

wmic process get name /format:"report.xsl?riskThreshold=High&reportTitle=紧急安全报告"

6.2 多文件合并

对于大型审计，可以将多个WMIC查询结果合并到一个XSL中：

@echo off
setlocal enabledelayedexpansion

:: 创建主XML
echo ^<?xml version="1.0" encoding="UTF-8"?^> > combined_audit.xml
echo ^<AUDIT^> >> combined_audit.xml

:: 收集各类信息
for %%i in (process service startup) do (
    echo ^<%%i^> >> combined_audit.xml
    wmic %%i get /format:rawxml 2>nul | findstr /v "^<" >> combined_audit.xml
    echo ^</%%i^> >> combined_audit.xml
)

echo ^</AUDIT^> >> combined_audit.xml

:: 应用合并XSL
wmic process call transform xsl="combined.xsl" input="combined_audit.xml" output="combined_report.html"

6.3 性能优化技巧

限制查询结果数量：

wmic process where "processid < 10000" get name,processid /format:table

使用特定命名空间：

wmic /namespace:\\root\securitycenter2 path AntiVirusProduct get displayname,productstate /format:table

并行处理：

$computers = @("PC1", "PC2", "PC3")
$computers | ForEach-Object -Parallel {
    wmic /node:$_ process get name /format:table > "C:\Audit\$_.txt"
} -ThrottleLimit 5

实战7：集成到企业安全体系

7.1 与SIEM系统集成

将WMIC审计结果发送到SIEM系统：

# 发送审计日志到SIEM
function Send-ToSIEM {
    param(
        [string]$LogData,
        [string]$SIEMEndpoint = "https://siem.company.com/api/logs"
    )
    
    $headers = @{
        "Content-Type" = "application/json"
        "Authorization" = "Bearer $env:SIEM_TOKEN"
    }
    
    $body = @{
        source = "wmic_audit"
        computer = $env:COMPUTERNAME
        timestamp = (Get-Date -Format "o")
        data = $LogData
    } | ConvertTo-Json
    
    Invoke-RestMethod -Uri $SIEMEndpoint -Method Post -Headers $headers -Body $body
}

7.2 与配置管理数据库(CMDB)集成

# 更新CMDB
function Update-CMDB {
    param(
        [string]$ComputerName,
        [hashtable]$InventoryData
    )
    
    # 这里应该是CMDB API调用
    # 示例：调用ServiceNow API
    $uri = "https://company.service-now.com/api/now/table/cmdb_ci_computer"
    $headers = @{
        "Content-Type" = "application/json"
        "Authorization" = "Basic $env:SERVICENOW_TOKEN"
    }
    
    $body = @{
        name = $ComputerName
        cpu_count = $InventoryData.CPUCores
        ram_gb = $InventoryData.RAMGB
        os_version = $InventoryData.OSVersion
    } | ConvertTo-Json
    
    Invoke-RestMethod -Uri $uri -Method Patch -Headers $headers -Body $body
}

安全注意事项与最佳实践

8.1 安全风险

XSL注入风险：如果XSL文件来自不可信来源，可能导致代码执行
凭据泄露：在命令行中使用密码可能被日志记录
权限提升：WMIC可能被用于权限提升攻击

8.2 最佳实践

文件权限：限制XSL文件的写入权限

icacls "C:\SecurityAudit\*.xsl" /inheritance:r /grant:r SYSTEM:F /grant:r Administrators:F

使用受限制的WMIC：

wmic /role:restricted process get name

审计日志：启用WMI操作审计

auditpol /set /subcategory:"Microsoft-Windows-WMI-Activity/Operational" /success:enable /failure:enable

定期更新：保持XSL文件和脚本的更新，以应对新的威胁

8.3 替代方案考虑

虽然WMIC仍然可用，但微软已推荐使用PowerShell作为替代：

Get-WmiObject → Get-CimInstance
wmic → Get-CimInstance + Invoke-CimMethod

PowerShell提供了更好的安全性、性能和功能。

结论

WMIC调用XSL文件是一种强大而灵活的方法，用于系统信息分析和安全审计。通过结合WMIC的数据收集能力和XSL的格式化能力，可以创建高度定制化的审计报告和安全分析工具。

关键要点：

灵活性：XSL允许自定义输出格式，适应不同需求
自动化：通过脚本实现定期审计和警报
集成性：可以与现有安全体系集成
可扩展性：支持远程管理和多系统审计

尽管WMIC在某些场景下仍然有用，但建议逐步迁移到PowerShell和现代管理工具，以获得更好的安全性和功能支持。

通过本文提供的实战示例，您可以快速构建适合自己环境的系统审计解决方案，提升安全监控和合规性能力。