Cobaltstrike bypass Defender

小韩韩啊

已于 2022-04-17 23:58:11 修改

阅读量1.2k

点赞数

分类专栏：杂七杂八文章标签： bypass

于 2022-03-16 07:18:50 首次发布

本文链接：https://blog.youkuaiyun.com/wuguojiuai/article/details/123516977

版权

本文介绍了两种方法来规避Windows Defender对Cobaltstrike执行文件的检测。方法一利用Add-MpPreference PowerShell命令删除Defender的监控；方法二通过添加进程到Defender白名单，但需要进行静态免杀处理。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Defender一直是我们比较头疼的一个东西，相对于其他杀毒软件的可以退出关闭而言，Defender作为微软自带的一款杀毒软件，经常会在未经允许的情况下删除我们本地的东西。就很烦躁。刚好今天群里看到一篇文章，但是看着觉得眼熟，仔细看了下跟雷石以前的一篇文章很像，咱们本文就基于cs的exe马简单做个bypass defender的小总结。

参考：

https://docs.microsoft.com/en-us/powershell/module/defender/remove-mppreference?view=windowsserver2022-ps

https://docs.microsoft.com/en-us/microsoft-365/security/defender-endpoint/configure-server-exclusions-microsoft-defender-antivirus?view=o365-worldwide#list-of-automatic-exclusions

方法1-删除检查项：

根据官方：https://docs.microsoft.com/en-us/powershell/module/defender/remove-mppreference?view=windowsserver2022-ps 的描述，-ExclusionPath和AttackSurfaceReductionOnlyExclusions 两个选项是可以删除defender对文件夹或文件的监控。

利用方法：

使用 -EXecutionPolicy Bypass:绕过powershell默认安全规定不能运行命令和文件

完整利用

powershell -Executio