❤️
Полный разнос #windows
FullBypass - инструмент, который обходит AMSI (AntiMalware Scan Interface) и PowerShell CLM (Constrained Language Mode) и предоставляет вам полноязычную обратную оболочку PowerShell.
🎚Т.к. проект на C#, то придётся притащить на атакуемую систему
FullBypass.csproj. Далее нужно будет запустить с помощью
msbuild.exeC:\windows\Microsoft.NET\Framework64\v4.0.30319\msbuild.exe .\FullBypass.csproj
🛡 Как это работает:
1. Сначала код обходит AMSI, используя метод memory hijacking, и переписывает некоторые инструкции в функции
AmsiScanBuffer. С помощью инструкции xor аргумент
size будет равен 0, и AMSI не сможет обнаружить будущие скрипты и команды в powershell.
2. Вторым проходом код перепроверяет, успешно ли он перезаписал функцию
AmsiScanBuffer.
3. Скрипт вернет 0, то бишь True и спросит вас IP и Port куда стучаться revshell'у
4. Ловим FullLanguage сессию у себя на машине.
🏃 Краткая справка чем отличается FullLanguage от ConstrainedLanguage:
FullLanguage session:
- Это сессия PowerShell, в которой разрешено использование всех функций и возможностей языка PowerShell.
- Пользователи и скрипты могут создавать, изменять и удалять объекты .NET, выполнять сложные скрипты, определять новые функции, классы и многое другое.
- Этот режим предоставляет полный доступ к PowerShell и его особенностям.
ConstrainedLanguage session:
- Это сессия PowerShell, ограниченная в использовании некоторых функций языка и возможностей для повышения безопасности системы.
- В ограниченном языковом режиме доступ к ряду средств программирования, таких как добавление новых типов, доступ к частным методам и т.д., становится ограниченным.
- ConstrainedLanguage предназначен для сокращения поверхности атаки и предотвращения выполнения потенциально нежелательных или вредоносных скриптов.
- Этот режим часто используется в сценариях, когда необходимо обеспечить высокий уровень безопасности, к примеру, на рабочих станциях, находящихся под контролем через AppLocker или Device Guard.
🌚
@poxek
