• XSS.stack #1 – первый литературный журнал от юзеров форума

Как чекнуть байпас амси пш

Emi

HDD-drive
Забанен
Регистрация
31.03.2021
Сообщения
29
Реакции
2
Пожалуйста, обратите внимание, что пользователь заблокирован
Сабж. Как чекнуть скрипт байпаса амси в пш?

Типа патчим амси, после "Invoke-Mimikatz" для теста и чекаем на то, что есть ли патч или нет
 
Write-Host "AmsiUtils", если AMSI работает не пропустит вывод. Еще можно дополнительно импортнуть .NET приложение, которое заведомо детектится, и сделать из него вызов.
 
Последнее редактирование:
Пожалуйста, обратите внимание, что пользователь заблокирован
Write-Host "AmsiUtils", если AMSI работает не пропустит вывод. Еще можно дополнительно импортнуть управляемое приложение, которое заведомо детектится.
ну типа как чекнуть автоматом для того, чтобы понять, качать ли остальную часть?

try, catch или как
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Ну вызвать AmsiScanBuffer по идее, не?
ну у пш так, если детект произошел, то останавливается остальная часть кода

Мне нужно получить определенные данные, что был патч амси и на основе этих данных расшифровать остальную часть и инвокнуть код
 
ну у пш так, если детект произошел, то останавливается остальная часть кода

Мне нужно получить определенные данные, что был патч амси и на основе этих данных расшифровать остальную часть и инвокнуть код
Можно примерно так накостылить.
Взять строку "Invoke-Mimikatz" или какую нибудь другую сигнатуру (только обязательно с кавычками), завернуть ее в base64, чтобы еще до начала выполнения скрипта не палилось. И после байпасса амси попробовать выполнить это через IEX, присвоив возвращаемое значение какой нибудь переменной. Дальше сделать проверку лежит ли что-то в этой переменной. Если нет, то выполнение зафейлилось и детект был, а и если да, то все ок, выполняем нужный код.
Код:
#здесь вставляем патч амси
$a = iex ([System.Text.Encoding]::UTF8.GetString([system.convert]::FromBase64String('Imludm9rZS1taW1pa2F0eiI=')));
if($a -ne $null){
    #выполняем все, что собирались
}
 
Последнее редактирование:
Можно примерно так накостылить.
Взять строку ' "Invoke-Mimikatz" ' или какую нибудь другую сигнатуру, завернуть ее в base64, чтобы еще до начала выполнения скрипта не палилось. И после байпасса амси попробовать выполнить это через IEX, присвоив возвращаемое значение какой нибудь переменной. Дальше сделать проверку лежит ли что-то в этой переменной. Если нет, то выполнение зафейлилось и детект был, а и если да, то все ок, выполняем нужный код.
Код:
#здесь вставляем патч амси
$a = iex ([System.Text.Encoding]::UTF8.GetString([system.convert]::FromBase64String('Imludm9rZS1taW1pa2F0eiI=')));
if($a -ne $null){
    #выполняем все, что собирались
}
Скрытый контент для пользователей: purple_haze.
 


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх