pxmapple/Gllllnimloader

Gllllnimloader

该工具会持续更新，目前只做好第一个模块

简介：

这是一个PowerShell的加载器,分别有nim写的Automation和PSTOEXE两种加载方式，他们可以将PowerShell的源代码打包成exe，我用Python将它进行脚本化快速编译，由于PowerShell语言的灵活性，Gllllnimloader可以加载任何形式的PowerShell(感谢大佬对开源社区贡献的代码：https://github.com/MScholtes/PS2EXE)

视频教程：https://www.bilibili.com/video/BV1r541117nK/

优点：

1.能够无视卡巴斯基和Windows Defender的内存扫描

2.避免了敏感API,比如说VirtualAlloc、VirtualProtect、CreatProcess、WriteProcessMemory

缺点：

1.依赖于磁盘加载二进制文件

2.由于System.Management.Automation.dll存在兼容性问题，需要在有高版本的Powershell环境中才能运行，因此编译过后的二进制文件可能不能在win10/win2016以下的PC端运行。（我一直在尝试解决这个问题，如果你找到了解决方案，请马上与我联系）

用法：

提前配置好nim、python3、mingw64的环境，并安装winim这个nim的第三方库(https://github.com/khchen/winim), 需要在windows下进行编译

用CobaltStrike生成一个stageless的Powershell脚本

将Powershell脚本挂在公网，你也可以挂在pastebin(https://pastebin.com) 或者Github上，或者你也可以本地起一个http服务，然后输入网址链接即可编译

有两种PowerShell的打包方式

第一种

注意第二种需要加一个ico格式的图标，将该图标放到同目录的文件夹下即可

免杀效果：

Karpersky

仅弹计算器作演示，lsass dump暂时不考虑

Windows Defender(win 2016)

提示：

1.不要上传任何包括但不仅限于VirusTotal的公网沙箱，如果我发现样本失效过快，会停止该项目的维护

2.此项目仅用于教育目的，禁止将该技术用于非法途径

项目赞助：

+知识星球学习免杀: