Invisi-Shell

Cachez votre script PowerShell en pleine vue ! Invisi-Shell contourne toutes les fonctionnalités de sécurité de PowerShell (journalisation ScriptBlock, journalisation des modules, transcription, AMSI) en accrochant les assemblys .Net. L'accrochage est effectué via l'API CLR Profiler.

Travail en cours

Il s'agit encore d'une version préliminaire destinée à servir de POC. Le code fonctionne uniquement sur les processus x64 et a été testé avec PowerShell V5.1.

Utilisation

• Copiez le fichier InvisiShellProfiler.dll compilé depuis le dossier /x64/Release/ avec les deux fichiers batch du répertoire racine (RunWithPathAsAdmin.bat et RunWithRegistryNonAdmin.bat) dans le même dossier.
• Exécutez l'un des fichiers batch (selon si vous disposez de privilèges d'administrateur local ou non)
• La console PowerShell s'ouvrira. Quittez PowerShell à l'aide de la commande exit (NE FERMEZ PAS LA FENÊTRE) pour permettre au fichier batch d'effectuer un nettoyage approprié.

Compilation

Le projet a été créé avec Visual Studio 2013. Vous devez installer le kit de développement logiciel (SDK) de la plateforme Windows pour le compiler correctement.

Description détaillée

Plus d'informations peuvent être trouvées dans la présentation DerbyCon par Omer Yair (octobre 2018).

Crédits

• CorProfiler par .NET Foundation
• Eyal Ne'emany
• Guy Franco
• Ephraim Neuberger
• Yossi Sassi
• Omer Yair