搜索

[11430] 2017-06-07_Powershell编码与混淆

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-06-07_Powershell编码与混淆 P o w e r s h e l l 编 码 与 混 淆 a l 0 n e _   F r e e B u f   2 0 1 7 - 0 6 - 0 7 在 在 p o w e r s h e l l 中 最 常 使 用 的 编 码 就 是 中 最 常 使 用 的 编 码 就 是 b a s e 6 4 编 码 了 ， 今 天 主 要 说 一 下 编 码 了 ， 今 天 主 要 说 一 下 I n v o k e - O b f u s c a t i o n   这 个 这 个 p o w e r s h e l l 混 淆 编 码 框 架 ， 这 也 混 淆 编 码 框 架 ， 这 也 是 著 名 的 组 织 是 著 名 的 组 织 A P T 3 2   （ 海 莲 花 ） 经 常 使 用 的 一 个 工 具 。 （ 海 莲 花 ） 经 常 使 用 的 一 个 工 具 。 地 址 ： h t t p s : / / g i t h u b . c o m / d a n i e l b o h a n n o n / I n v o k e - O b f u s c a t i o n 下 载 后 ， 在 当 前 目 录 的 p s 命 令 行 中 输 入   I m p o r t - M o d u l e . I n v o k e - O b f u s c a t i o n . p s d 1 ;   I n v o k e - O b f u s c a t i o n       装 载 框 架 输 入 s e t     s c r i p t b l o c k     ‘ e c h o   x s s   ‘     这 里 输 入 要 编 码 的 p o w e r s h e l l 命 令   然 后 输 入 E N C O D I N G     就 会 列 出 以 下 几 种 编 码 方 式 输 入 1 选 择 a s c i i 编 码
在 R e s u l t 中 看 到 了 编 码 后 的 命 令 ， 可 以 直 接 在 p o w e r s h e l l 里 面 执 行   然 后 我 们 输 入 b a c k 返 回 到 上 一 层   输 入 l a u n c h e r     选 择 命 令 的 启 动 方 式 ， 可 以 尝 试 多 种 不 同 的 方 法 结 合 。 输 入 p s   然 后 选 择 6 7   （ 6 7 代 表 隐 藏 执 行 与 绕 过 执 行 限 制 ）     就 会 生 成 完 整 的 混 淆 与 编 码 后 的 命 令 输 入 s h o w   o p t i o n s     打 开 设 置 选 项 我 们 也 可 以 直 接 在 p s 的 命 令 行 中 直 接 进 行 编 码 I n v o k e - O b f u s c a t i o n   - S c r i p t B l o c k   { e c h o   x s s }   - C o m m a n d   ‘ E n c o d i n g 1 , L a u n c h e r P S 6 7 ′   - Q u i e t 进 行 多 次 编 码   在 进 行 第 一 次 编 码 后 然 后 输 入 要 编 码 的 类 型 进 行 二 次 编 码
选 项 中 可 以 看 到 使 用 了 2 次 编 码 命 令   u n d o 取 消 最 近 一 次 的 编 码 命 令 / r e s e t 取 消 所 有 的 编 码 命 令 在 系 统 日 志 中 （ % s y s t e m r o o t % S y s t e m 3 2 w i n e v t p o w e r s h e l l . e v t x ） ， 通 过 混 淆 与 编 码 后 的 p o w e r s h e l l 命 令 更 加 增 加 了 溯 源 的 难 度 总 结 ： 总 结 ： 在 w i n d o w s 环 境 下 ， 使 用 p o w e r s h e l l 的 攻 击 者 将 会 越 来 越 多 ， 通 过 对 p o w e r s h e l l   编 码 与 混 淆 ， 可 以 有 效 的 绕 过 一 些 杀 软 检 测 并 且 更 加 具 备 隐 藏 的 目 的 。 同 时 也 让 我 们 认 识 到 了 p o w e r s h e l l 脚 本 的 灵 活 性 。 *   本 文 作 者 ： a l 0 n e _ ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理