FullBypass

AMSI（AntiMalware Scan Interface）とPowerShell CLM（Constrained Language Mode）をバイパスし、FullLanguage PowerShellリバースシェルを提供するツールです。

P.S Please do not use in unethical hacking and follow all rules and regulations of laws

使用方法:

まず、bypass.csprojファイルを被害マシンにダウンロードします（C:\Windows\TasksやC:\Windows\Tempなどの書き込み可能なフォルダを見つけてください）。その後、msbuild.exeで実行するだけです。

例: C:\Windows\Microsoft.NET\Framework64\v4.0.30319\msbuild.exe .\FullBypass.csproj

その後、コードは2つのことを行います。

1. まず、メモリハイジャック手法を使用してAMSIをバイパスし、AmsiScanBuffer関数内のいくつかの命令を書き換えます。xor命令によりサイズ引数が0になり、AMSIはPowerShell内の将来のスクリプトやコマンドを検出できなくなります。

2. 最後に、IPとポートを尋ね、PowerShell FullLanguageモードのリバースシェルを提供します。

ご覧の通り、PowerShell FullLanguageModeのリバースシェルを取得できます。モジュールをロードし、FullLanguageModeを失わないようにするには、.DownloadStringメソッドとIEXを使用してください。