इन्विसी-शेल

अपने पॉवरशेल स्क्रिप्ट को खुली आँखों में छुपाएँ! इन्विसी-शेल .Net असेंबली को हुक करके पॉवरशेल की सभी सुरक्षा सुविधाओं (ScriptBlock लॉगिंग, मॉड्यूल लॉगिंग, ट्रांस्क्रिप्शन, AMSI) को बायपास करता है। हुक CLR प्रोफाइलर API के माध्यम से किया जाता है।

कार्य प्रगति पर

यह अभी भी एक प्रारंभिक संस्करण है जो POC के रूप में अभिप्रेत है। कोड केवल x64 प्रक्रियाओं पर काम करता है और पॉवरशेल V5.1 के विरुद्ध परीक्षण किया गया है।

उपयोग

• /x64/Release/ फ़ोल्डर से संकलित InvisiShellProfiler.dll को रूट डायरेक्टरी से दो बैच फ़ाइलों (RunWithPathAsAdmin.bat और RunWithRegistryNonAdmin.bat) के साथ उसी फ़ोल्डर में कॉपी करें।
• कोई भी बैच फ़ाइल चलाएँ (यह इस पर निर्भर करता है कि आपके पास स्थानीय व्यवस्थापक अधिकार हैं या नहीं)
• पॉवरशेल कंसोल चलेगा। बैच फ़ाइल को उचित सफाई करने की अनुमति देने के लिए exit कमांड का उपयोग करके पॉवरशेल से बाहर निकलें (विंडो बंद न करें)।

संकलन

प्रोजेक्ट विज़ुअल स्टूडियो 2013 के साथ बनाया गया था। इसे ठीक से संकलित करने के लिए आपको विंडोज प्लेटफ़ॉर्म SDK स्थापित करना चाहिए।

विस्तृत विवरण

अधिक जानकारी ओमेर यैर (अक्टूबर, 2018) द्वारा DerbyCon प्रस्तुति पर पाई जा सकती है।

क्रेडिट

• .NET Foundation द्वारा CorProfiler
• Eyal Ne'emany
• Guy Franco
• Ephraim Neuberger
• Yossi Sassi
• Omer Yair