Bypass LOLBins 命令行的交互式 shell

        LOLSpoof 是一个交互式 shell 程序，可以自动欺骗生成进程的命令行参数。只需调用看似有罪的命令行 LOLBin （例如powershell -w hidden -enc ZwBlAHQALQBwAHIAbwBjAGUA....）

1. 从真实的命令行中准备欺骗性的命令行：lolbin.exe " " * sizeof(real arguments)

2. 使用欺骗性命令行暂停 LOLBin 的生成

3. 获取远程PEB地址

4. 获取RTL_USER_PROCESS_PARAMETERS结构体的地址

5. 获取命令行unicode缓冲区的地址

6. 用真实的命令行覆盖假命令行

7. 恢复主线程

下载地址

https://pan.quark.cn/s/f54f40495eb8

原文始发于微信公众号（TtTeam）：Bypass LOLBins 命令行的交互式 shell