OffenSive Csharp Development Part5 && 星球来袭

本文是OffenSive Csharp Development的第五篇文章，主要讲解如何使用C#进行AMSI bypass。

首先我们先来看一下什么是amsi。

AMSI的全称是反恶意软件扫描接口（Anti-Malware Scan Interface），是从Windows 10开始引入的一种机制。AMSI是应用程序和服务能够使用的一种接口，程序和服务可以将“数据”发送到安装在系统上的反恶意软件服务（如Windows Defender）。

服务和应用程序可以通过AMSI来与系统中已安装的反恶意软件通信。

AMSI为终端安全供应商提供了丰富的接口以帮助他们更好地对目标组件进行内存缓冲区安全扫描，或选择需要扫描的内容。根据微软提供的信息，AMSI支持的组件有如下几种：

1、用户账户控制（UAC）

2、PowerShell（脚本、交互使用和动态代码计算）

3、Windows脚本主机（wscript.exe和cscript.exe）

4、JavaScript和VBScript

5、Office VBA宏

AMSI的整体架构如下：

我们可以使用windbg来查看具体信息：

x amsi!Amsi*

主要就是AmsiScanBuffer与AmsiScanString这两个函数的作用。查看详细

u amsi!AmsiScanString L60

因为AmsiScanString会调用AmsiScanBuffer，所以我们一般patch掉AmsiScanBuffer来进行bypass amsi。

常用方法如下：

xor eax, eax
ret

剩下的就是来编写代码了。

patch前后：

amsi!AmsiScanBuffer:
00007ffb`dd183310 4c8bdc          mov     r11,rsp
00007ffb`dd183313 49895b08        mov     qword ptr [r11+8],rbx
00007ffb`dd183317 49896b10        mov     qword ptr [r11+10h],rbp
00007ffb`dd18331b 49897318        mov     qword ptr [r11+18h],rsi

amsi!AmsiScanBuffer:
00007ffb`dd183310 b857000780      mov     eax,80070057h
00007ffb`dd183315 c3              ret
00007ffb`dd183316 084989          or      byte ptr [rcx-77h],cl
00007ffb`dd183319 6b1049          imul    edx,dword ptr [rax],49h
00007ffb`dd18331c 897318          mov     dword ptr [rbx+18h],esi

效果：

之后

代码地址：https://github.com/lengjibo/OffenSiveCSharp/tree/master/AmsiBypass

此篇也是该系列的最后一篇文章了，希望对大家有所帮助。

关于星球

之前后台一直有粉丝留言想要个星球或者群之类的交流之所，很可惜群很难有一个交流氛围，于是便和0xAxSDD老哥筹建了一个Redteamspace知识星球，此星球是主要是为了探讨前沿的红队技术，以及一些不为人所知的骚姿势，营造一个良好的学习氛围，如果你与我们一样热爱技术，善于分享，那么请加入我们吧！