Invisi-Shell

将你的 PowerShell 脚本置于明处而不被发现！Invisi-Shell 通过挂钩 .Net 程序集，绕过了 PowerShell 的所有安全特性（ScriptBlock 日志记录、模块日志记录、转录、AMSI）。该挂钩通过 CLR Profiler API 实现。

工作进展

这仍是一个旨在作为概念验证的初步版本。该代码仅适用于 x64 进程，并已在 PowerShell V5.1 上测试。

使用说明

• 将 /x64/Release/ 文件夹中编译好的 InvisiShellProfiler.dll 与根目录下的两个批处理文件（RunWithPathAsAdmin.bat 和 RunWithRegistryNonAdmin.bat）复制到同一文件夹。
• 运行其中一个批处理文件（取决于你是否拥有本地管理员权限）。
• PowerShell 控制台将启动。使用 exit 命令退出 PowerShell（不要关闭窗口），以便批处理文件执行正确的清理工作。

编译

项目使用 Visual Studio 2013 创建。你需要安装 Windows Platform SDK 才能正确编译。

详细描述

更多信息可参见 Omer Yair（2018 年 10 月）的 DerbyCon 演讲。

致谢

• CorProfiler 由 .NET Foundation 提供
• Eyal Ne'emany
• Guy Franco
• Ephraim Neuberger
• Yossi Sassi
• Omer Yair