本文介绍了如何通过修复问题和利用Veil、Invoke-Obfuscation及 Franci Šacer的nps-payload版本，来绕过Windows Defender等杀软，成功在Win10系统中执行Meterpreter payload。详细步骤包括利用Veil去除转义字符、使用Invoke-Obfuscation混淆脚本以及生成不受检测的C# payload。
坎宁汉姆的定律是这样的：“在互联网上获得正确答案的最好方法并不是去问一个问题，而是发布一个错误的答案”。
然而，自从我发布上篇博文《win10内存花式执行meterpreter绕过杀软》后却没有收到负面反馈，不过我自己已经发现了一些问题：
以下是我目前为止发现的：
l绝大多数杀软使用默认配置就能检测到nps_payload，因为它在后端使用了msfvenom来生成可执行的powershell代码。
l从webDAV上获取文件对磁盘并不是“零写入的”，在C:WindowsServiceProfilesLocalServiceAppDataLocalTempTfsStoreTfs_DAV这个目录中你可以找到一些内容。
lMsbuild也不是零写入的，执行的时候会在C:Users[USER]AppDataLocalTemp[RANDOM]写入一些内容。不过，跟webDAV不一样，执行之后它会自我清理。
好消息是我可以修复第一个问题，下面是修复的步骤：
使用Veil
假设你已经安装了Veil，并且使用nps_payload生成了msbuild_nps.xml文件。
使用下面的参数运行Veil：
执行后你会得到一个payload.bat文件。根据靶机架构不同，我们会复制相对应的命令。下面我对x64架构进行了高亮显示。
在上面的这段p
最低0.47元/天 解锁文章
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
