默认 PowerShell 位置

开始的基本 PowerShell 命令

下载 & 执行

使用 AMSI Bypass 后台下载并执行

在Linux中使用b64

下载

System.Net.WebClient

Invoke-WebRequest

调用-WebRequest

Wget

Wget

BitsTransfer

位传输

Base64 Kali & EncodedCommand

Base64 Kali & EncodedCommand

启用 WinRM（远程 PS）

禁用 Defender

AMSI bypass

amsi.dll 被加载到您的进程中，并具有任何应用程序与之交互所需的导出函数。由于它被加载到您控制的进程的内存空间中，您可以通过覆盖内存中的指令来更改其行为。使其无法检测任何内容。

因此，您的 AMSI 绕过的目标是覆盖内存中该 DLL 的指令，使检测无效。

AMSI Bypass 2 - Managed API Call Hooking

这种新技术依赖于对.NET方法的API调用挂钩。事实证明，.NET方法需要在内存中编译为本机机器指令，最终看起来非常类似于本机方法。这些编译方法可以被挂钩以更改程序的控制流。

执行.NET方法的API调用挂钩的步骤如下：

1. 确定要挂钩的目标方法

2. 定义一个与目标具有相同函数原型的方法

3. 使用反射查找方法

4. 确保每个方法都已编译

5. 找到内存中每个方法的位置

6. 用指向我们恶意方法的指令覆盖目标方法

AMSI Bypass 3 - SeDebug Privilege

AMSI Bypass - 更多资源

PS-History

查找更新的文件

选项：CreationTime，CreationTimeUtc，LastAccessTime，LastAccessTimeUtc，LastWriteTime，LastWriteTimeUtc

获取权限

操作系统版本和热补丁

环境

其他连接的驱动器

回收站

域侦察

用户

将安全字符串转换为明文

或者直接从 XML 解析：

SUDO

SUDO

用户组

剪贴板

进程

服务

从安全字符串获取密码

计划任务

网络

端口扫描

接口

防火墙