通过向量异常处理程序 (VEH) 实现的 Powershell AMSI 绕过技术

通过 VEH 绕过 AMSI

描述：

通过向量异常处理程序 (VEH) 实现的 PowerShell AMSI 绕过技术。此技术不执行汇编指令修补、函数挂钩或导入地址表 (IAT) 修改。

怎么运行的：

要使此技术发挥作用，您必须首先将 VEH DLL 注入到 PowerShell 进程中。这可以通过注入 DLL 或通过 DLL 劫持来完成。

该技术的工作原理是在所有 PowerShell 进程线程上的函数上设置硬件断点AmsiScanBuffer，然后安装 VEH 来处理该断点的触发。

当线程调用 时AmsiScanBuffer，VEH 将使线程退出该函数而不执行任何操作，并将函数结果设置为AMSI_RESULT_CLEAN。这一切都在 VEH 内部完成，无需修改进程的代码，也无需修改任何 PE。

用法：

为了演示目的，此存储库包含一个非常基本的 DLL 注入器。请按以下方式使用它：

• 1.) 编译 DLL 注入器和 VEH DLL。

• 2.) 打开 PowerShell 实例。

• 3.) 通过提供 DLL 的完整路径来运行 DLL 注入器。示例：

./DLL_Injector.exe C:WindowsTempAMSI_VEH.DLL

• 4.) PowerShell 将打开一个 MessageBox 窗口以确认 VEH 安装。

https://github.com/vxCrypt0r/AMSI_VEH