为什么此Powershell命令总是导致不同的文件编码？ - 腾讯云开发者社区

文章/答案/技术大牛

发布

精心构造的PS1文件名导致Powershell命令执行

Windows PowerShell是专门为系统管理员设计的Windows命令行外壳程序。PowerShell包括可独立使用或组合使用的交互式提示和脚本环境。...测试发现运行带有特殊格式文件名的脚本后，可以导致执行其他木马如exe文件，也可以是任何可执行文件如.com，.exe，.bat，.cpl，.js，.vbs和.wsf。例如：使用”....测试过程如下： 1、生成powershell命令：首先，我们创建一个用于混淆的Base64编码的文件名；它将下载并执行一个在本例中名为“ calc.exe”的远程可执行文件。...2、然后给PS脚本起一个普通的开始名称，然后使用“;”分隔命令。“ -e”是EncodedCommand的缩写，用于再次保存文件名空间。...例如 test; powershell -e 编码命令>; 2.ps1 3、双击以在PowerShell中打开，效果如下： ? 或者在命令行下执行： ?

2.5K2 0

渗透技巧 | Bypass Powershell执行策略的N种方式

•此执行策略设计用于将 PowerShell 脚本内置到更大应用程序中的配置，或用于将 PowerShell 作为具有自己的安全模型的程序的基础的配置。...0x02 -Command命令参数这个方法和上面的方法很像，但是此方法不需要一个交互式的窗口。它适用于简单脚本的执行，但是脚本复杂一点是执行不了的。...type命令，唯一的区别是可以直接type一个文件，其实本质差不多。...这种技术可以用来从网上下载一个PowerShell脚本并执行它无需写入磁盘。它也不会导致任何配置更改。...-1.html 直接使用Remote-Signed标记是无法运行的，那为什么不直接标记成Bypass呢(狗头) PowerShell.exe -ExecutionPolicy Remote-signed

6K2 0

您找到你想要的搜索结果了吗？

是的

没有找到

【详解】PowerShell基本命令和绕过权限执行

PowerShell基本命令和绕过权限执行前言PowerShell 是一种强大的命令行工具和脚本语言，它在 Windows 操作系统中提供了广泛的功能，包括自动化任务、系统管理等。...本文将介绍一些常用的 PowerShell 基本命令，并探讨如何在遇到权限限制时绕过这些限制执行脚本。PowerShell 基本命令1. 获取帮助Get-Help：获取命令的帮助信息。...这里介绍几种常见的方法：设置执行策略: PowerShell 有一个执行策略来控制脚本的执行。可以通过 Set-ExecutionPolicy 来更改此策略。...powershell -ExecutionPolicy Bypass -File script.ps1通过编码方式加载脚本: 将脚本内容编码为 Base64 字符串，然后在 PowerShell 中解码并执行...滥用这些技术可能导致安全风险，如恶意软件传播、数据泄露等。总是确保你有合法的权利去执行任何可能影响系统安全的操作。以上内容希望能帮助你更好地理解和使用 PowerShell。

1.6K1 0

针对哈萨克斯坦的基于多阶段 PowerShell 的攻击

用于执行绕过的 PowerShell 命令使用 0x58 密钥进行 XOR 加密。...解密命令后，我们可以看到UAC绕过的过程，包括在Task Scheduler中创建一个SilentCleanup任务，调用PowerShell以更高的权限执行创建的vbs文件。...与 lib207.ps1 类似，此 PowerShell 脚本也是 XOR 加密的，但使用不同的密钥 (0x02)。...此 DLL 执行创建的cmd.bat文件，从而导致以高权限执行它，用来绕过UAC。绕过 UAC 后，在所有操作系统版本中，都会下载并执行下一阶段的有效负载 ( lib106.ps1 )。...使用“Attrib.exe +h”命令隐藏 vbs 文件。使用 PowerShell下载并执行最后阶段 ( updater.ps1 )。

1.4K2 0

进攻性横向移动

横向移动是从一个受感染的宿主移动到另一个宿主的过程。渗透测试人员和红队人员通常通过执行 powershell.exe 在远程主机上运行 base64 编码命令来完成此操作，这将返回一个信标。...它首先创建一个 PowerShell 脚本，该脚本将对嵌入式有效负载进行 base64 编码，该有效负载从内存运行并压缩为单线，连接到 ADMIN$ 或 C$ 共享并运行 PowerShell 命令，如下所示...这样做的问题是它创建了一个服务并运行了一个 base64 编码的命令，这是不正常的，会引发各种警报并生成日志。...image.png image.png 所以我们看到，即使通过 WMI，尽管 wmic.exe 能够通过 Powershell 在目标上运行命令，但仍会创建命名管道，那么为什么首先要创建命名管道呢...这可以通过 Powershell 中的命令完成，也可以通过 WMI 和 Powershell 远程完成：启用-PSRemoting -Force 从非 CS 的角度来看（用您的二进制文件替换 calc.exe

3K1 0

从一个恶意活动中学习 PowerShell 解码

PowerShell 命令，他们有时能够解开这些可疑的命令，但常常还得靠研究人员。...本篇文章旨在让大家能够从下列项中来了解可疑命令的目的： Scheduled Tasks (预定任务)； RUN Keys in the Registry (注册表中的 RUN 键值)； Static PowerShell...Cobalt Strike 是一个威胁仿真软件，该软件有助于进行安全评估，可复制网络中高级对手的策略和技术，但是总是会有人经常滥用此工具对企业进行攻击。什么是 Beacon？...scdbg 运行此 ShellCode 后： IP 在演示中可能有所不同，因为我想在这里介绍两个示例，即恶意代码中有没有 XOR： Success！...现在，他们可以监视/阻止此 IP 和相应的端口 (作为事件响应的一部分)，切断攻击者对其资产的访问。

1.3K4 0

围绕PowerShell事件日志记录的攻防博弈战

PowerShell攻击特性总结：无文件攻击特性防查杀，可躲避防火墙、众多反病毒软件和入侵防御系统：PowerShell的无文件特性，使其无需接触磁盘，内存直接加载并执行恶意代码。...极易混淆编码，PowerShell具备脚本类语言的特点，灵活多变，很容易配合多种混淆方法，对抗传统检测工具良好的功能及适应性，满足多种攻击场景的需求：PowerShell内置远程管理机制，可用于远程命令执行...PowerShell输入和输出对象，包括协议和版本协商以及命令I / O对象在表示为“有效负载数据”的字段中存储为XML编码的十六进制字符串，并且到期长度通常在多个日志消息中分段。...如下图所示，从补丁中的这段注释已经可以推测此漏洞的原理了，简单来说，就是空字符截断导致ScriptBlock日志对命令记录时发生了异常终止了记录。...环境由于自身限制导致是无法依靠单一的PowerShell命令完成漏洞利用的，当然同样也发现在命令拼接的多条命令执行中4103事件日志无法完美截断，单一的键值内容还是会被记录下来。

2.3K1 0

免杀|白加黑的初步探究

以上两种不同的思路，导致了"白加黑"有了两种不同的思路，即可以修改原有的DLL，也可以创造一个黑DLL进行攻击。这里补充一下，白加载shellcode就是我们所说的无文件落地免杀！...---- 内存（asmi）/行为（edr）检测我们知道一旦启用Powershell，就会导致微软的Defender调用ASMI接口，进行检测。...又因为某些原因Powershell无文件落地免杀在国内其实不太流行，因为360\天擎一旦发现Powershell运行一些敏感函数就会标记直接拦截，导致执行失败，但是它却可绕过火绒等杀软。...来混淆或编码单个PowerShell命令。...建议有能力的进行二次开发，除去加密的特征值，免杀效果更好。注意：使用的目标应该能够执行PowerShell脚本，否则，我们将无法执行混淆/编码的PowerShell脚本。

4K1 0

PowerShell 降级攻击的检测与防御

当然，如果我们有追踪机制，那么只能缓解一些 PowerShell 攻击，假设我们已经开启了如下模块： 1、模块记录 2、脚本块记录 3、安全流程跟踪（4688/4689）我将此博客文章分为 3 个不同的部分...由于 powershell V2 不能被总是卸载，所以我们可以使用 EventSentry 检测并终止 powershell V2 的命令（特别是启用了 4688 事件时）。...V2 那么就可以跳过此过程，通常卸载 powershell V2 可以在控制面板中通过程序和功能手动卸载，也可以使用下面的 powershell 命令来卸载： Disable-WindowsOptionalFeature...通过其他二进制文件执行 PowerShell 代码的想法可能与维持权限的人有关，下载另一个二进制文件肯定没有默认安装的 PowerShell 有优势，但是攻击者在前期可能会使用内置的 Powershell...应急能够检测到发生恶意 PowerShell 活动是我们要做的第一步，我们如果能够确定哪些命令是恶意的，那么为什么不在造成损害之前阻止他的呢？

2.8K0 0

钓鱼引发的APT攻击回溯 | C&C服务器位于韩国，whois注册却在中国上海

“powershell.exe” 命令编码得到的VBScript 通常VBScript的“createbject”指令都会跟在 Powershell 命令“powershell.exe -w hidden...VBScript base 64解码代码在多层循环解码base 64编码后，结果很明显的：附加于Word附件文档，隐藏在VBScript文件中，存在一个长且危险的脚本，随时可由Powershell执行...复制、粘贴 Powersploit/CodeExecution PoC 运行Powershell命令的VBScript存在一处代码，该代码就是基于臭名昭著的恶意软件Powershell PowerSploit...此方法在分析shellcode时非常有用。通过Unix环境，你可以创建这种PE，而不会有感染的风险。下图就是他采用的过程： ? 图5....这种不感染文件的攻击有效地避免了多个编码和包装检测的已知签名，并且100％避免了原始攻击者的工作区域被发现的可能性。这将使目前的APT活动有更好的机会成功由类似有效载荷造成的其他情况。

2.3K9 0

使用扩展的JSON将SQL Server数据迁移到MongoDB

于此同时，很多其它的问题也浮现到我们面前，这总是让我们感觉到一种潜在的焦虑，即任何新的专有的系统都可能是一种难以驾驭的系统。数据是数据库中珍贵的财产，稍有不慎就会导致数据丢失。...因为十进制数据和浮点型数据有很大的不同，当你用浮点数进行金融计算，你就会很快会发现这一点。如果你想保存二进制数据信息，你还得保留其中的编码信息。通过这些发现，其实数据类型真的很重要。...(所谓“正确”，我的意思是，在PowerShell中触发错误的命令，它很快就会运行完，而发现不了真正的错误)。...通过使用PowerShell，您可以避免打开SQL Server的“表面区域”，从而允许它运行的DOS命令将数据写入文件。我在另一篇文章中展示了使用SQL的更简单的技巧和方法。...通常，我提倡使用PowerShell，但是mongoimport工具有点古怪，最好通过命令提示符或批处理文件来完成上面的事情。批处理文件，是有点神秘，但工作的非常好！

5K2 0

一种 Powershell 的混淆方式绕过 AMSI 检测

现在，这里的诀窍是将上述每个命令分别混淆，而不是将它们全部编码在一起。...这对规避有效原因是，如果我们拆开有效负载并将其每个有效负载键入到 PowerShell 终端中，它不会被标记为恶意，因为它们都被归类为不同的命令，这些命令是 PowerShell 的合法命令。...如果你以前玩过 EDR，那么众所周知，这是 IEX 的全名。默认情况下，调用表达式总是被标记为恶意的，因为它用于执行命令。...因此，我们将确保有效负载中不存在任何字符串或任何编码版本的 IEX，但我们仍将使用此命令。记住，IEX 本身不是恶意的。它和任何其他微软 API 一样好。...因此，现在我们可以使用 n-eiorvsxpk5 表达式执行任何命令。下面的截图应该可以更好地解释这一点：或者，如果您不想为 I、E 和 X 使用相同风格的编码，您也可以使用不同的模式。

4.8K4 0

TTP映射至MITRE ATT&CK与Sigma：将威胁情报转化为可落地的检测规则

被用来通过编码命令下载Payload”ATT&CK 映射：T1059.001 — 命令和脚本解释器：PowerShellSigma 规则：检测带有 -EncodedCommand 参数的PowerShell...进程创建日志 (Sysmon ID 1)命令行参数文件路径 (%Temp%)父子进程链第4步：转换为Sigma创建一个Sigma规则，在Windows事件日志中寻找上述特征。...真实案例 — PowerShell C2 信标观察结果：恶意软件执行了编码的PowerShell命令以连接到远程服务器。...ATT&CK 技术：T1059.001 — 命令和脚本解释器：PowerShellT1071.001 — 应用层协议：Web协议相关的Sigma规则：title: PowerShell 编码命令执行id...: powershell-c2description: 检测使用 EncodedCommand 开关的 PowerShell 命令行logsource: category: process_creation

1971 0

实战威胁狩猎：利用ELK狩猎终端攻击（数据收集、外泄与破坏）

#text进入或点击以查看完整图片先前的结果显示，使用'wget'命令下载了可疑的PowerShell文件并由用户执行。执行的文件是一个脚本；详细信息在应用的列中可见。...进入或点击以查看完整图片此选项创建一个按时间顺序显示事件的列表。点击Load 5 newer documents链接/按钮以跟踪执行cat命令后的事件。...这就是为什么我们专注于执行的命令、时间和负载详细信息。现在，键盘记录器数据库的内容完全可见！结论根据结果，存在多个活动，包括Chrome、PowerShell、Notepad和其他系统程序。...仔细调查结果后，我们注意到PowerShell启动了一个进程，该进程导致子进程从远程主机下载恶意脚本，记录击键并在系统中创建数据库文件。这是使用给定模式集狩猎键盘记录器活动的最简单方法。...此脚本正在使用ICMP数据包传输文件。换句话说，它是一个数据外泄脚本！

1461 0

【65001在win7不识别，在win10系统识别】

以下是一些转换资源文件为UTF-16编码的方法：使用文本编辑器许多文本编辑器都支持保存文件为不同的编码格式。...使用PowerShell 在Windows PowerShell中，您可以使用以下命令将UTF-8编码的文件转换为UTF-16 LE编码： powershell Get-Content ....\destination.rc -Encoding Unicode 此命令使用 Get-Content 来读取原始的UTF-8编码文件，并使用 Set-Content 将内容以UTF-16 LE编码写入新文件...使用命令行工具 (iconv) 如果您有安装 iconv 工具，这是一个通用的工具，可以转换文件的编码。...在这些编辑器中，打开文件后，通常可以在底部栏看到编码设置，您可以从那里更改编码，并重新保存文件。注意事项在转换编码之前，请确保备份您的原始文件，以防转换过程中发生错误导致数据丢失。

1.5K1 0

PSAsyncShell：一款功能强大的PowerShell异步TCP反向Shell

关于PSAsyncShell PSAsyncShell是一款功能强大的PowerShell异步TCP反向Shell，该工具基于纯PowerShell开发，适用于安装并配置了PowerShell...和其他反向Shell工具不同的是，该工具所实现的所有通信和执行流都是异步完成的，并实现了一些针对防火墙绕过和远程连接处理对策。...除此之外，该工具还提供了命令历史记录、屏幕清理、文件上传和下载、信息分块和反向Base64 URL编码流量等功能。...一切的操作都是异步完成的，也就是说，每次执行命令时，都会进行以下操作： 1、服务器从提示符读取命令并将其存储在变量中； 2、服务器侦听端口并准备发送； 3、客户端连接，接收命令，双方关闭连接； 4、...Base64 URL 反向编码，信息的执行和发送总是从内存中完成，并且任何时候都不会在磁盘上写入任何内容。

8153 0

围绕PowerShell事件日志记录的攻防博弈

PowerShell一直是网络攻防对抗中关注的热点技术，其具备的无文件特性、LotL特性以及良好的易用性使其广泛使用于各类攻击场景。...PowerShell攻击特性总结： • 无文件攻击特性防查杀，可躲避防火墙、众多反病毒软件和入侵防御系统：PowerShell的无文件特性，使其无需接触磁盘，内存直接加载并执行恶意代码。...• 极易混淆编码，PowerShell具备脚本类语言的特点，灵活多变，很容易配合多种混淆方法，对抗传统检测工具 • 良好的功能及适应性，满足多种攻击场景的需求：PowerShell内置远程管理机制，可用于远程命令执行...如下图所示，从补丁中的这段注释已经可以推测此漏洞的原理了，简单来说，就是空字符截断导致ScriptBlock日志对命令记录时发生了异常终止了记录。 ?...0x07 总结 PowerShell其实已经被广泛运用于不同规模的攻击活动，无论是下载器中、内网横向扩展中、权限维持系统后门中，甚至MuddyWater、FruityArmor等多个APT组织的攻击事件中都被使用

2.1K3 0

如何在Windows 10上安装Python 3并设置本地编程环境

当您看到选项时，右键单击桌面应用程序“Windows PowerShell”。出于我们的目的，我们将选择“以管理员身份运行”。当系统提示您提示“是否要允许此应用程序对您的PC进行更改？”...执行此操作后，您将看到一个基于文本的界面，其中包含一串如下所示的单词：我们可以通过输入以下命令切换出系统文件夹： cd ~ 然后我们将在一个目录中，如PS C:\Users\Sammy 要继续我们的安装过程...安装nano之后，我们将能够使用该nano命令创建新的文本文件，并最终使用它来编写我们的第一个Python程序。...要使用此环境，您需要激活它，您可以通过键入以下命令来调用Scripts目录中的activate脚本： my_env\Scripts\activate 您的提示现在将以您的环境名称作为前缀，在这种情况下，...要离开环境，只需键入命令deactivate，您将返回到原始目录。结论恭喜！此时，您应该在本地Windows 10计算机上设置Python 3编程环境，并且可以开始编码项目！

3.5K0 0

11.反恶意软件扫描接口 (AMSI)

AMSI支持允许文件和内存或流扫描、内容源 URL/IP 信誉检查和其他技术的调用结构。 AMSI 还支持会话的概念，以便反恶意软件供应商可以关联不同的扫描请求。...在 PowerShell 命令提示符中，任何提供的内容将首先发送到 AmsiScanBuffer()，然后再执行。...如果端点安全产品支持AMSI，并且检测到该字符串，那么PowerShell提示符将显示错误，表明输入的命令是恶意的。 ? 很好Amsi查杀并阻止了power shell执行命令。...($bytes | % {[char] ($_ -bxor 0x33)}) #进行XOR编码 iex $string #执行命令然后我们使用powershell ISE 执行来模拟我们在实战中的无文件落地直接内存加载执行的手法...启用此功能后，受影响的 VBA 项目的运行时性能可能会降低。 1.使用cobat Strike生成我们的恶意代码 ?

5.9K2 0

基于ArduinoLeonardo板子的BadUSB攻击实战

同学的《使用arduino进行渗透测试》则通过SET与Arduino的结合进行渗透，mrzcpo同学的《HID高级攻击姿势：利用PowerShell脚本进行文件窃取》则介绍了获取文件的详细步骤，.../min是最小化窗口运行命令，可以避免弹出powershell的蓝框，-w hidden是让powershell以隐蔽的模式运行，此时仍可以输入命令，但不会出现对话框，这样就可以让命令运行尽可能的隐蔽了...可能由于集成了两个功能，导致不能多重编码||=_=) ?...3.2）SET工具集中的Powershell攻击向量直接下载msf生成的Payload即使花式编码也难免被高启发、云查杀、沙箱检测等手段干掉，所以通过强大的Powershell来建立反向连接是不错的选择...，打包压缩，并在检测到有U盘插入时将文件传入U盘，此VBS代码在后台运行，等待时机，先用Arduino Leanardo传入代码，再用另一个U盘取出文件。

2.4K7 0

点击加载更多

精心构造的PS1文件名导致Powershell命令执行

渗透技巧 | Bypass Powershell执行策略的N种方式

【详解】PowerShell基本命令和绕过权限执行

针对哈萨克斯坦的基于多阶段 PowerShell 的攻击

进攻性横向移动

从一个恶意活动中学习 PowerShell 解码

围绕PowerShell事件日志记录的攻防博弈战

免杀|白加黑的初步探究

PowerShell 降级攻击的检测与防御

钓鱼引发的APT攻击回溯 | C&C服务器位于韩国，whois注册却在中国上海

使用扩展的JSON将SQL Server数据迁移到MongoDB

一种 Powershell 的混淆方式绕过 AMSI 检测

TTP映射至MITRE ATT&CK与Sigma：将威胁情报转化为可落地的检测规则

实战威胁狩猎：利用ELK狩猎终端攻击（数据收集、外泄与破坏）

【65001在win7不识别，在win10系统识别】

PSAsyncShell：一款功能强大的PowerShell异步TCP反向Shell

围绕PowerShell事件日志记录的攻防博弈

如何在Windows 10上安装Python 3并设置本地编程环境

11.反恶意软件扫描接口 (AMSI)

基于ArduinoLeonardo板子的BadUSB攻击实战

相关资讯

热门标签

活动推荐

运营活动

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐