使用powershell的免杀 – purplet的博客

前提监听，和制作C#免杀的方式类似，这次选择powershell

Ps代码嵌入图片

将生成的ps代码集成到一个图片中，图片尽量像素大一点，我们需要用到invoke-psimage脚本，原理是将脚本中的字节数据存储到图片中，而图片的每一个像素都会存一个字节，所以图片像素尽量大一点。

这里用到一个脚本

Invoke-psimage Imvoke-psimage会将：个powershell脚本以字节方式嵌入到png图片的像素中，并生成一行执行命令来帮助我们从文件或web执行它们。

它会利用图片中每个像素点最后4位有效位的2个颜色值来存储payload数据，图片质量会稍微有些影响，但基本看不出来什么区别。图片需要为png格式，因为payload数据存储在颜色值中，所以这种格式可以进行无损压缩且不会影响payload执行。它可以接受大多数图片类型作为输入，但输出必须为png格式，因为输出图像数据需要是无损的。

https://github.com/peewpw/Invoke-PSlmage

Invoke-psimage操作

Powershell -ExecutionPolicy Bypass
Import-Module .\Invoke-PSImage.ps1

Invoke-PSImage -Script .\payload.ps1 -Image .\test.jpg -Out test2.png -Web因为我们需要使用import-module来加载invoke-psimage脚本，而powershell默认是不允许加载外部脚本文件的，所以在打开powershell时需要用executionpolicy bypass参数来绕过策略的限制。

其中test.jpg是网上找的可以拼进去的图片，尽量大些，test2.png后缀必须是png才可以