Invisi-Shell

Прячьте свой powershell-скрипт на самом видном месте! Invisi-Shell обходит все механизмы безопасности Powershell (логирование ScriptBlock, логирование модулей, расшифровка, AMSI) путем перехвата сборок .Net. Перехват осуществляется через API CLR Profiler.

Работа в процессе

Это все еще предварительная версия, предназначенная как POC (Proof of Concept). Код работает только в x64-процессах и протестирован на Powershell V5.1.

Использование

• Скопируйте скомпилированный файл InvisiShellProfiler.dll из папки /x64/Release/ вместе с двумя пакетными файлами из корневого каталога (RunWithPathAsAdmin.bat и RunWithRegistryNonAdmin.bat) в одну папку.
• Запустите один из пакетных файлов (в зависимости от того, есть ли у вас права локального администратора или нет)
• Запустится консоль Powershell. Выйдите из powershell с помощью команды exit (НЕ ЗАКРЫВАЙТЕ ОКНО), чтобы пакетный файл выполнил правильную очистку.

Компиляция

Проект создан в Visual Studio 2013. Для правильной компиляции необходимо установить Windows Platform SDK.

Подробное описание

Дополнительную информацию можно найти в презентации на DerbyCon от Омера Яира (октябрь 2018 г.).

Благодарности

• CorProfiler от .NET Foundation
• Эяль Не'эмани
• Гай Франко
• Эфраим Нойбергер
• Йосси Сасси
• Омер Яир