NoPowerShell

NoPowerShell est un outil implémenté en C# qui permet d'exécuter des commandes de type PowerShell tout en restant invisible pour les mécanismes de journalisation de PowerShell. Ce binaire compatible .NET Framework 2 peut être chargé dans Cobalt Strike pour exécuter des commandes en mémoire. Aucune System.Management.Automation.dll n'est utilisée ; seules les bibliothèques .NET natives. Une autre utilisation de NoPowerShell est de le lancer en tant que DLL via rundll32.exe dans un environnement restreint : rundll32 NoPowerShell.dll,main.

Ce projet permet à chacun d'étendre facilement ses fonctionnalités en utilisant seulement quelques lignes de code C#. Pour plus d'informations, consultez CONTRIBUTING.md.

Les derniers binaires sont disponibles sur la page Releases. La branche MASTER n'est pas mise à jour très régulièrement ; le code et les cmdlets les plus récents sont disponibles dans la branche DEV. Pour démarrer avec NoPowerShell, assurez-vous également de consulter l'Aide-mémoire des cmdlets.

Captures d'écran

Exécution dans Cobalt Strike

Exemple d'exécution de commandes

Version Rundll32

Pourquoi NoPowerShell

NoPowerShell est développé pour être utilisé avec la commande execute-assembly de Cobalt Strike ou dans un environnement restreint à l'aide de rundll32.exe. Raisons d'utiliser NoPowerShell :

• Exécution très furtive
• Fonctionnalités puissantes
• Fournit les cmdlets que vous connaissez déjà dans PowerShell, pas besoin d'apprendre un autre outil
• Si vous n'êtes pas encore très familier avec PowerShell, les alias cmd.exe sont également disponibles (par exemple ping au lieu de Test-NetConnection)
• Si les cmdlets ne sont pas disponibles via powerpick ou powershell, elles le sont dans nps (par exemple les cmdlets du module ActiveDirectory)
• Facilement extensible avec seulement quelques lignes de C#

Utilisation

Exemples

Voir CHEATSHEET.md.

Utilisation dans Cobalt Strike via execute-assembly

Utilisez la commande execute-assembly de Cobalt Strike pour lancer NoPowerShell.exe. Par exemple execute-assembly /path/to/NoPowerShell.exe Get-Command. Optionnellement, NoPowerShell.cna peut être utilisé pour ajouter l'alias nps à Cobalt Strike.

Utilisation dans Cobalt Strike via BOF.NET

1. Installez le BOF BOF.NET depuis https://github.com/CCob/BOF.NET
2. Chargez le runtime BOF.NET : bofnet_init
3. Chargez le module NoPowerShell : bofnet_load /path/to/NoPowerShell.dll
4. Exécutez les cmdlets NoPowerShell : bofnet_execute NoPowerShell.Program Get-Command

Utilisation dans Cobalt Strike avec le fork de BOF.NET de @williamknows

Ce fork permet d'exécuter des exécutables .NET standard

1. Obtenez et compilez le fork de BOF.NET de @williamknows depuis https://github.com/williamknows/BOF.NET
2. Chargez le runtime BOF.NET : bofnet_init
3. Chargez le module NoPowerShell : bofnet_load /path/to/NoPowerShell.exe
4. Exécutez les cmdlets NoPowerShell : bofnet_executeassembly NoPowerShell Get-Command

Lancement via rundll32

1. Créez un raccourci vers le fichier NoPowerShell.dll (glissez avec le clic droit -> Créer des raccourcis ici)
2. Modifiez le raccourci en préfixant le nom de fichier avec rundll32 et en ajoutant ,main
3. Le raccourci ressemblera alors à rundll32 C:\Path\to\NoPowerShell.dll,main
4. Double-cliquez sur le raccourci

Remarque

Lorsque vous utilisez NoPowerShell depuis cmd.exe ou PowerShell, vous devez échapper le caractère pipe (|) respectivement avec un accent circonflexe (^) ou un backtick (`), par exemple :

• cmd.exe : ls ^| select Name
• PowerShell : ls `| select Name

Problèmes connus

• Les caractères de pipeline doivent être entourés d'espaces
• TLS 1.1+ n'est pas pris en charge par .NET Framework 2, donc tout site l'imposant entraînera une erreur de connexion

Améliorations

• Corriger les problèmes ci-dessus
• Prise en charge des groupes de paramètres
• Ajouter la prise en charge du code .NET en ligne de commande, par exemple : [System.Security.Principal.WindowsIdentity]::GetCurrent().Name

Cmdlets NoPowerShell demandées

Cmdlet	Description
Invoke-Command	Exécuter une commande sur une machine distante via PSRemoting (ce qui sera bien sûr journalisé dans ce cas)
*	D'autres commandes *-Item*
Search-ADAccount
Get-ADPrincipalGroupMembership
Get-ADOrganizationalUnits
*	D'autres commandes du module PowerShell ActiveDirectory
*	Des utilitaires Sysinternals comme pipelist et sdelete

Cmdlets NoPowerShell contribuées

Les auteurs de cmdlets NoPowerShell supplémentaires sont ajoutés au tableau ci-dessous. De plus, le tableau liste les commandes que la communauté demande d'ajouter. Ensemble, nous pouvons développer une boîte à outils NoPowerShell puissante !

Cmdlet	Contribué par	GitHub	Twitter	Description