Invoke-CradleCrafter 是一个兼容 PowerShell v2.0+ 的 PowerShell 远程下载载体生成与混淆工具。
2016 年秋季发布 Invoke-Obfuscation 后，我继续更新我的 PowerShell 远程下载载体电子表格，想着有朝一日或许会为 Invoke-Obfuscation 添加一个“载体选择器”菜单。这份列表包含了我所不了解的载体，其中许多在现实环境中尚未被（或根本未被）广泛观测到。
然而，由于 Invoke-Obfuscation 旨在混淆任意 PowerShell 命令或脚本，我意识到在构建定制化载体时，需要纳入某些我已知晓但无法在 Invoke-Obfuscation 中实现的混淆技术。
这正是促使我将这项载体研究独立成项目的原因，不过你随时可以将 Invoke-CradleCrafter 的输出输入到 Invoke-Obfuscation 中继续折腾。由于 Invoke-CradleCrafter 的控制粒度更精细，它使我能够引入与 Invoke-Obfuscation 中任何技术截然不同的混淆方法。
该工具中的一些新混淆技术包括：通过数据类型枚举和通配符匹配实现的令牌混淆，以及通过引入额外变量和变量语法来重新排列命令结构。
最后，该工具支持超过 10 种调用语法，超越了最常见的 Invoke-Expression 和 IEX。
Invoke-CradleCrafter 旨在帮助蓝队和红队轻松探索、生成和混淆 PowerShell 远程下载载体。此外，它还能协助蓝队测试某些检测规则的有效性——这些规则可能对 Invoke-Obfuscation 的输出有效，但在应对 Invoke-CradleCrafter 时却力不从心，因为后者不包含字符串拼接、编码、撇号、类型转换等特征。
这项研究与工具开发的另一个重要组成部分，是有效突出每种载体在执行时留下的高级行为和痕迹。当你在工具的交互菜单中首次进入一种新载体类型时，我会尝试高亮显示这些信息。
最终，对每种载体的行为和痕迹了解得越多，就越能帮助蓝队更好地检测这些载体。同时，这也应有助于红队成员在特定场景中做出更明智的载体选择。
虽然所有载体都可以通过直接调用 Out-Cradle 函数生成，但由于堆叠混淆组件中各部分之间的复杂性，使用 Invoke-CradleCrafter 函数是探索和可视化该框架当前支持的载体语法与混淆技术的最便捷方式。
Invoke-CradleCrafter 的源代码托管在 Github 上，你可以从本仓库（https://github.com/danielbohannon/Invoke-CradleCrafter）下载、分叉和审查。请通过 GitHub 与该项目关联的 Bug 跟踪器报告问题或功能请求。
安装方式：
Import-Module ./Invoke-CradleCrafter.psd1
Invoke-CradleCrafter
Invoke-CradleCrafter 根据 Apache 2.0 许可证发布。
v1.0 - 2017-04-28 x33fcon（格丁尼亚，波兰）：Invoke-CradleCrafter 公开发布。
v1.1 - 2017-05-11 NOPcon（伊斯坦布尔，土耳其）： 新增 3 种基于内存的载体：
v1.1.1 - 2018-01-08： 新增 1 种基于内存的载体：
v1.1.2 - 2018-02-05： 在载体信息中添加了 User-Agent 字符串