PowerShell免杀上线远控(可二开cs,生成即免杀)

儒道易行

于 2024-08-16 18:18:25 发布

阅读量1k

点赞数 31

分类专栏： 0.红队攻防 # 1. 红队实战 # 4.免杀攻防文章标签： web安全安全网络自动化运维

本文链接：https://blog.csdn.net/weixin_48899364/article/details/141235031

版权

0.红队攻防同时被 3 个专栏收录

81 篇文章 1 订阅

订阅专栏

1. 红队实战

48 篇文章 1 订阅

订阅专栏

4.免杀攻防

10 篇文章 0 订阅

订阅专栏

我翻开历史一查，这历史没有年代，歪歪斜斜的每页上都写着“仁义道德”几个字。我横竖睡不着，仔细看了半夜，才从字缝里看出字来，满本都写着两个字是“吃人”！

后续可根据以下思路，对cs进行二开，实现生成即免杀，后续免杀专题系列文章会分享该思路。

启动团队服务器（TeamServer），如图所示

在这里插入图片描述

连接团队服务器

在这里插入图片描述

如图所示为成功登录后的Cobalt Strike运行界面。

在这里插入图片描述

建立Listener

在这里插入图片描述

在Listeners面板中点击Add按钮，新建一个监听器，如图

在这里插入图片描述

在弹出的对话框中点击Save按钮后会弹出一个窗口

生成Payload

在这里插入图片描述

保持默认配置，选择已经创建的监听器

在这里插入图片描述

保存为payload.ps1文件

在这里插入图片描述

本篇文章使用Powershell远程加载+Payload混淆，实现免杀，最后成功上线远控

上面生成的脚本已经被杀软标记为恶意，这里需要绕过，思路是可以修改特征，改特征选用IPowershell编码器，

如下

在这里插入图片描述

设置如下

在这里插入图片描述

编码如下：

在这里插入图片描述

选择编码方式3

在这里插入图片描述

设置编码后输出文件路径

如下

在这里插入图片描述

这里使用火绒查杀一下编码后的文件，如下图，未发现安全风险。

在这里插入图片描述

上面生成的文件经过编码混淆后已成功实现免杀

下一步需要对PowerShell的执行进行绕过，众所周知的是国内的杀软，某绒、某60是把PowerShell的加载进行监测的

正常执行，肯定被拦截

在这里插入图片描述

这里把ps1传到个人服务器演示如何进行远程加载，可成功访问上传后的文件

在这里插入图片描述

后面，我们需要执行powershell命令，但是powershell行为特征也被某绒、某60记录在规则里，这里我们可以选择使用如下方式，绕过某绒、某60的这一防护。

如下

在这里插入图片描述

执行免杀后的如下命令

在这里插入图片描述

后续可根据以上思路，对cs进行二开，实现生成即免杀，后续免杀专题系列文章会分享该思路。

文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。

免责声明：由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。

CSDN: 现有1100+关注。
https://rdyx0.blog.csdn.net/

公众号：儒道易行，现有10000+关注。
https://mp.weixin.qq.com/mp/appmsgalbum?__biz=Mzg5NTU2NjA1Mw==&action=getalbum&album_id=1696286248027357190&scene=173&from_msgid=2247485408&from_itemidx=1&count=3&nolastread=1#wechat_redirect

博客:
https://rdyx0.github.io/

先知社区：
https://xz.aliyun.com/u/37846

SecIN:
https://www.sec-in.com/author/3097

FreeBuf：
https://www.freebuf.com/author/%E5%9B%BD%E6%9C%8D%E6%9C%80%E5%BC%BA%E6%B8%97%E9%80%8F%E6%8E%8C%E6%8E%A7%E8%80%85