文章总结： 本文介绍了一种制作免杀ASP脚本的方法，用于绕过安全软件检测并上线CobaltStrike。作者发现ASP脚本会被微软Defender等安全软件查杀，并展示了火绒检测到的特征码。文章使用VBScrambler工具对VBScript代码进行混淆，将其转换为ASP可用代码，然后测试了混淆后的ASP脚本对360、火绒和Defender的免杀效果。测试结果显示，混淆后的ASP脚本可以绕过360和火绒的静态查杀，但Defender虽然能过静态扫描，但在访问执行时仍会被AMSI检测到并拦截。
综合评分： 85
文章分类： 免杀,WEB安全,红队

简单制作免杀上线CS的ASP脚本

TtTeam

2025年8月15日 21:08
海南

以下文章来源于潇湘信安
，作者3had0w

潇湘信安
.

一个不会编程、挖SRC、代码审计的安全爱好者，主要分享一些安全经验、渗透思路、奇淫技巧与知识总结。

| |
| — |
| 声明：该公众号大部分文章来自作者日常学习笔记，也有部分文章是经过作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。 请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。 |

现在只对常读和星标的公众号才展示大图推送，建议大家把“潇湘信安”设为星标，否则可能看不到了！

0x00 前言

星球@Sky师傅说这类ASP脚本落地会被微软Defender查杀，在上篇文章中也有提到过，目前有部分杀软确实已查杀这类脚本或拦截其恶意行为，这篇文章我将分享一个简单的混淆免杀方法。

0x01 火绒测试

物理机装的只有火绒，以它为例简单测试下，其他杀软大家自己测试，因为之前有测试过这类脚本，所以知道有以下两个特征HackTool/Meterpreter.a，如下图所示。

• AAEAAAD/////AQAAAAAAAAAEAQAAACJTeXN0ZW0uRGVsZWdhdGVTZXJpYWxpemF0aW9uSG9sZGVy
• AwAAAAhEZWxlZ2F0ZQd0YXJnZXQwB21ldGhvZDADAwMwU3lzdGVtLkRlbGVnYXRlU2VyaWFsaXph

上边两个特征可用" & "这种简单混淆绕过，然后再次扫描又被检测为Trojan/JS.Starter.e，查杀的fmt.Deserialize_2方法，这是第三个特征…，如下图所示。

Set d = fmt.Deserialize_2(Base64ToStream(s))

0x02 脚本免杀

懒的去研究咋手工混淆了，直接Github搜索关键字vbs obfuscated，Recently updated排序找到一个5天前更新的VBScrambler，同类项目也可以去测试下，如下图所示。

https://github.com/bobby-tablez/VBScrambler

VBScrambler是一个基于Python写的VBScript代码混淆器，可将VBScript脚本文件或单行代码进行混淆，对于该工具的详细介绍、工作原理、可选参数以及使用方法可以去项目地址详细了解。

这里我们将DotNetToJScript输出的VBScript脚本文件代码修改为ASP可用代码，然后再用VBScrambler工具来进行混淆并输出保存到一个新的文件cstest.vbs，如下图所示。

python3 VBScrambler.py -s 5 -f cs.vbs -o cstest.vbs

打开cstest.vbs文件在顶/尾部加上ASP标识<% %>，然后再将该文件扩展名修改为.asp，以下为经过混淆后的ASP代码，无明显特征（SNIP省略了部分代码），如下图所示。

这里和之前操作一样，将混淆后的ASP脚本上传到目标Web目录下，使用任意一款浏览器访问该脚本文件即可上线CobaltStrike，因为我是本地测试，所以直接用的curl，如下图所示。

curl http://192.168.1.110/cstest.asp

0x03 免杀效果

使用这个经过混淆处理过的ASP脚本可同时绕过360和火绒的静态查杀上线，没有查杀和拦截；Defender虽然也能过静态，但访问时会出现500报错，其行为被AMSI给拦截了。

这里我也只是简单的测试了下国内常用的360、火绒和Defender，其他更多AV/EDR/WAF等安全防护的免杀效果大家自行测试，如下图所示。

火绒安全软件：

360安全卫士(核晶)：

Windows Defender：

静态扫描过了，但在访问执行时仍会被AMSI检测到并拦截……！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：TtTeam 《简单制作免杀上线CS的ASP脚本》