CS系列-使用powershell的免殺

• 2020 年 3 月 8 日
• 筆記

文章源自【位元組脈搏社區】-位元組脈搏實驗室

作者-purplet

前提監聽，和製作C#免殺的方式類似，這次選擇powershel

Ps程式碼嵌入圖片

將生成的ps程式碼集成到一個圖片中，圖片盡量像素大一點，我們需要用到invoke-psimage腳本，原理是將腳本中的位元組數據存儲到圖片中，而圖片的每一個像素都會存一個位元組，所以圖片像素盡量大一點。

這裡用到一個腳本

Invoke-psimage Imvoke-psimage會將：個powershell腳本以位元組方式嵌入到png圖片的像素中，並生成一行執行命令來幫助我們從文件或web執行它們。

它會利用圖片中每個像素點最後4位有效位的2個顏色值來存儲payload數據，圖片品質會稍微有些影響，但基本看不出來什麼區別。圖片需要為png格式，因為payload數據存儲在顏色值中，所以這種格式可以進行無損壓縮且不會影響payload執行。它可以接受大多數圖片類型作為輸入，但輸出必須為png格式，因為輸出影像數據需要是無損的。

https://github.com/peewpw/Invoke-PSlmage

Invoke-psimage操作

Powershell -ExecutionPolicy Bypass Import-Module .Invoke-PSImage.ps1

Invoke-PSImage -Script .payload.ps1 -Image .test.jpg -Out test2.png -Web因為我們需要使用import-module來載入invoke-psimage腳本，而powershell默認是不允許載入外部腳本文件的，所以在打開powershell時需要用executionpolicy bypass參數來繞過策略的限制。

其中test.jpg是網上找的可以拼進去的圖片，盡量大些，test2.png後綴必須是png才可以

將紅框複製出來，然後把test2.png上傳到服務端

將這部分複製出來，將下圖選中部分替換

然後將這一段發給win7，運行powshell執行（同時開啟360殺毒）獲得shell，過程中沒有報毒，之後學習配合msf可以更加隱蔽

這裡得到的也只是管理員許可權

重要通知

公眾號招募文章投稿小夥伴啦！只要你有技術有想法要分享給更多的朋友，就可以參與到我們的投稿計劃當中哦~感興趣的朋友公眾號首頁菜單欄點擊【商務合作-我要投稿】即可。期待大家的參與~戳左下角【閱讀原文】可進入社區瀏覽更多內容哦~