简单的vshell绕过火绒内存查杀
一、内容首先火绒内存查杀 高级设置全部打开首先我们上线一个vshell，观察一下情况我们可以看到 shellcode的生成并不像cobaltstrike那样存在stager和stagerless的选项，只有固定的一个stager。我们申请tcp的监听器的，shellcode进行上线实际测试文件管理操作不会被动态查杀屏幕操作不会被查杀当我们点击交互命令的时候，就会秒删点击非交互式的时候 则会发现执行一个命令过后就会被删除二、简单探测通过上面试验的规则我们应该大概了解了一些情况 执行命令的时候会被删除。那么到底是为什么呢？？我们再次研究一下首先关闭火绒（看看马子运行原理），看看这两个交互式和非交互式具体做了什么2.1 交互式我们使用SystemInformer.exe 查看进程属性，发现当启动交互终端的时候创建了一个子进程 winpty-agent.exe 可以发现放在了临时目录下至于这个到底是什么？？这个是一个开源的项目，网上也有很多介绍，我就不多赘述了https://github.com/rprichard/winpty关闭终端则这个进程关闭2.2非交互式我们使用非交互式执行命令的时候