PSh скрипты на какой стадии блокирует? Не даёт их загружать или твой реверсшелл блокирует по поведению? Мож просто нагрузку сменить и добавить пользователя в системе, а не пытатся реверсшелл выполнить? Да, такой подход не по феншую, но всё же, за неименеем других.

Ванлайнер psh делает document load другого psh с шеллкодом метерпретера и ав палит powershell.exe в момент исполнения этого скрипта
Сейчас я получаю беспалевный шелл, но пейлоад от winpayloads и дает он мне PSshell на handler winpayloads, что вообще неудобно.

Можно конечно нагрузку поменять,, но на винде стоит дефолтный фаерволл и врядли я смогу что-то сделать через psexec. Хотя можно попробовать.
Но тут дело принципа блин, я хочу метерпретер)))

Сейчас изучаю вопрос крипта метепретер шелкода и дальше лиюо попробую его запаковать в повершел либо сгенерить бинарник.

На форуме был перевод статьи как AV детектят реверсшелл и какие приёмы используются чтоб это дело обойти.

Вот эта? Windows Shellcoding x86 – функции вызова в Kernel32.dll – часть 2 [Перевод]

Не, я про эту Обход антивируса с помощью Метасплоита

В неие пишут, что повершелл тактики сильно задрочены и что ав пристально за ними смотрят.
Возможно это так. Но реверсшелл обычный у меня взлетел с дефендером.
Решил все же попробовать поиграться с шеллкодами.

Сессия умирала, потому что нужно было payload в metasploit запускать как windows/x64/reverse_tcp, а я запускал без x64.

Однако, все равно дефендер наяал палить мой бинарник, пишет behavior meterpreter. Думаю я лоханулся и не выключил вовремя чекбокс Отправлять подозрительные файлы и спалил свой бинарь(

Удивительное рядом. Скомпилил hershell из репы в гитхабе. Изменил только домен в генерации ssl.
В итоге рабочий реверсшелл с фунцией запуска метерпретер и шеллкодов в base64
Defender не палит ни ехе ни запуск.
Более того, не палит даже старт метерпретера.

Запал происходит при попытке запуска всяких фич внутри метерпретера. Типа даунлод файлов, попытка смены превилегий на system.
После запала и удаление ехе, просто заново закидываю ехе и все ровно.

Ддя приличия укатал бинарь upx - - brute. На 30% размер уменьшился.

Еще погоняю тесты, но в целом мне нравится.

Спасибо, приятель.
Я статью готовлю на конкурс по этой теме, однако, я пролетел мимо даты видимо