[!IMPORTANT]
Ce dépôt est désormais archivé. Même si ce fut un voyage amusant, je pense que PSArmoury a perdu son utilité.

PowerShellArmoury

Le PowerShell Armoury est conçu pour les pentesteurs, les « membres d’équipe de toutes les couleurs » et toute personne utilisant une variété d’outils PowerShell lors de ses missions. Il vous permet de télécharger et de stocker tous vos scripts PowerShell préférés dans un seul fichier obfusqué.

Vous n’avez plus à vous soucier de la mise à jour manuelle de Rubeus, PowerView, etc. Créez simplement un fichier de configuration une fois ou utilisez celui par défaut fourni avec l’outil. Désormais, il vous suffit d’exécuter « New-PSArmoury » avant de vous lancer dans votre prochaine mission. De plus, PSArmoury obfusque votre code et intègre un contournement AMSI. La conception modulaire devrait vous permettre de modifier facilement le code d’évasion ou d’obfuscation en cas de détection.

Structure générale

La version actuelle de PSArmoury privilégie une conception modulaire.

 New-PSArmoury.ps1
 PSArmoury.json
 utilities
    ConvertTo-Powershell.ps1
    Invoke-Shuffle.ps1
 modules
    evasion.ps1
    obfuscation.ps1

Le code est divisé en un script générateur principal appelé New-PSArmoury.ps1, qui est celui que vous exécutez. Le code pour l’évasion, l’obfuscation et la désobfuscation est stocké dans des fichiers .ps1 séparés dans le répertoire modules. Ces fichiers séparés sont appelés par le script principal et devraient vous permettre de modifier plus facilement des fonctions spécifiques (comme un contournement AMSI). En plus du répertoire modules, il y a aussi le répertoire utilities. Vous y trouverez des scripts autonomes qui peuvent être utiles dans des scénarios spécifiques.

Le répertoire modules

Le chemin par défaut du répertoire modules est .\modules, où le point fait référence au répertoire de travail actuel de votre shell. Vous pouvez modifier le chemin du répertoire modules en utilisant l’argument -ModulesDirectory de New-PSArmoury. Les noms des fichiers de script eux-mêmes sont cependant codés en dur dans le script principal et doivent toujours être :

• evasion.ps1
• obfuscation.ps1

Examinons ces deux fichiers de plus près.

evasion.ps1

Ce script doit contenir le code destiné à contourner ce que vous souhaitez contourner. Par défaut, il contient un contournement AMSI bien connu (merci amsi.fail). Veuillez noter que :

• le code ici s’exécute AVANT tout le reste (par exemple, la désobfuscation)
• il n’y a ABSOLUMENT AUCUNE VALIDATION ! Tout ce que vous mettez ici sera redirigé vers IEX tel quel.

obfuscation.ps1

Ce script doit contenir le code utilisé pour l’obfuscation et la désobfuscation. Le fichier obfuscation.ps1 par défaut utilise le chiffrement RC2. Exemples prêts à l’emploi :

• TEMPLATE_obfuscation_RC2.ps1 --> c’est le fichier par défaut
• TEMPLATE_obfuscation_byte_convert.ps1
• TEMPLATE_obfuscation_empty.ps1

Notez que le fichier TEMPLATE_obfuscation_empty.ps1 ne fait vraiment rien du tout et sert de modèle pour que vous construisiez votre propre fonction.

Si vous souhaitez utiliser l’un de ces fichiers, renommez-le simplement en « obfuscation.ps1 » et supprimez le fichier par défaut.

Si vous souhaitez créer une version personnalisée, gardez à l’esprit les points suivants concernant l’obfuscation :

• Le nom de la fonction DOIT toujours être « Get-PSArmouryObfuscation » avec un seul paramètre chaîne appelé « Code », car c’est ce que le script principal appellera pour chaque élément que vous souhaitez placer dans l’armurerie.
• La fonction DEVRAIT retourner la version obfusquée du code sous forme d’une seule valeur chaîne. Le code principal des scripts exécute une boucle supplémentaire de codage/décodage base64 pour garantir que nous puissions également gérer d’autres éléments que vous lui transmettez, mais il serait plus simple que vous puissiez simplement le renvoyer en tant que chaîne ;-)
• La fonction de désobfuscation correspondante DOIT comprendre tout ce que vous renvoyez ici. Le script principal se contente de transmettre les résultats – aucune magie ici.

Et n’oubliez pas ces points concernant la désobfuscation :

• Le nom de la fonction DOIT toujours être Get-PSArmouryDeObfuscation sans paramètre, car elle itère sur une variable globale fixe.
• La fonction DOIT retourner la version désobfusquée du code sous forme d’une seule valeur chaîne, prête à être exécutée. Nous redirigeons tout ce que vous renvoyez vers IEX, le reste vous appartient.

Le répertoire utilities

Le répertoire utilities contient des scripts autonomes utiles.

• ConvertTo-Powershell.ps1
  • Convertit une application console C# en script PowerShell. Pour plus de détails, voir l’article de blog correspondant.
• Invoke-Shuffle.ps1
  • Un script d’obfuscation simple qui convertit une seule ligne de code en plusieurs variables contenant des parties de la chaîne originale, qui sont ensuite fusionnées et invoquées lors de l’exécution.

Référence de configuration

Le fichier de configuration doit être un JSON valide composé d’un seul tableau contenant un ou plusieurs objets, chaque objet étant interprété comme une source de script unique. Chaque objet possède les attributs suivants :

Nom (Obligatoire)

Un nom de votre choix pour identifier le script inclus dans cet objet. C’est simplement une référence pour vous-même.

URL (Obligatoire)

L’emplacement pour obtenir le contenu du script. Il peut s’agir d’une URL vers une ressource web (https://), d’un chemin local (C:) ou d’une ressource réseau (\...). L’URL est transmise respectivement à Net.Webclient ou à Get-Item de PowerShell. En gros, tout format que l’un de ces deux peut gérer par défaut devrait fonctionner.

Type (Obligatoire)

Celui-ci donne une indication sur l’emplacement du script au créateur de l’armurerie. Il existe trois types valides :

• GitHub
  • Demandera des identifiants pour que nous puissions nous authentifier auprès de l’API GitHub. Tentera également de faire la distinction entre une URL « raw » pointant directement vers un fichier et une URL pointant vers un dépôt. Si l’URL pointe vers un dépôt, le script recherchera automatiquement tous les fichiers PowerShell de ce dépôt et les inclura. Exemple : « https://github.com/cfalta/PoshRandom »
• WebDownloadSimple
  • Signifie un fichier pouvant être téléchargé sans authentification via une requête HTTP GET. Exemple : « http://mywebserver.com/file.ps1 »
• LocalFile
  • Un fichier sur le disque, par exemple « C:\temp\test.ps1 ». Si le chemin pointe vers un répertoire, tous les fichiers (récursifs) avec l’extension « .ps1 » seront inclus.

FileInclusionFilter (Optionnel)

Sera interprété uniquement dans un objet de type « GitHub ». Sera comparé avec l’opérateur de comparaison « like » de PowerShell sur le nom complet du fichier, alors gardez à l’esprit que vous devez inclure les caractères génériques vous-même. N’oubliez pas d’inclure un astérisque (*) si vous souhaitez correspondre à une partie d’un nom de fichier. « *.ps1 » signifie tous les fichiers se terminant par « .ps1 », mais « .ps1 » signifie simplement « .ps1 ».

Vous n’êtes pas obligé d’inclure un filtre, mais si vous le faites, vous devez l’utiliser. Un InclusionFilter vide signifie aucun fichier.

FileExclusionFilter (Optionnel)

Comme le filtre d’inclusion, mais évidemment dans l’autre sens. L’exclusion a priorité.

Arguments

Voir l’aide PowerShell intégrée (man -full New-PSArmoury) pour plus de détails.

-Path

Le chemin vers votre nouveau fichier d’armurerie. La valeur par défaut est « .\MyArmoury.ps1 »

-FromFile