对抗Windows defender

请遵守法律法规，文章旨在提高安全软件的应变策略，严禁非法使用。

Windows defender 介绍

Microsoft Defender 防病毒软件在 Windows 10 和 Windows 11 以及 Windows Server 版本中可用。

Microsoft Defender 防病毒软件是 Microsoft Defender for Endpoint 中下一代保护的主要组件。这种保护将机器学习、大数据分析、深入的威胁防御研究和 Microsoft 云基础设施结合在一起，以保护您组织中的设备（或端点）。Microsoft Defender 防病毒软件内置于 Windows 中，它与 Microsoft Defender for Endpoint 配合使用，为你的设备和云提供保护。

Windows defender 环境

版本

Windows Server 系统环境

用户：Administrator

版本：Windows Server 2019

补丁

systeminfo 信息

事前准备

在实战环境中，首先需要上传webshell，所以在此必须免杀webshell

web环境：phpstudy 8.1.1.3 + apache 2.4.39 + php 7.3.4

哥斯拉 webshell 免杀

工具地址：
https://github.com/BeichenDream/Godzilla

经过测试，用Godzilla自带的PHP_XOR_BASE64加密器即可免杀（php一句话直接杀）

生成 PHP_XOR_BASE64 webshell

静态免杀测试

连接webshell

动态免杀测试

基础命令介绍

cmd

powershell

关闭 Windows defender

TrustedInstaller

TrustedInstaller是从Windows Vista开始出现的一个内置安全主体，在Windows中拥有修改系统文件权限，本身是一个服务，以一个账户组的形式出现。

它的全名是：NT SERVICETrustedInstaller

为什么要获取TrustedInstaller权限？

说白了就是因为Administratior权限和system权限无法关闭 Windows defender

注意：以下工具和技巧皆需要Administratior权限才能成功使用

NSudoLG

工具地址：
https://github.com/M2Team/NSudo

下载后使用：D:DocumentsNSudo_8.2_All_ComponentsNSudo Launcherx64NSudoLG.exe

免杀测试

使用方法

注意：此工具的 -U:T 参数是获取了 TrustedInstaller 权限

powershell成功上线

AdvancedRun

地址：
https://www.nirsoft.net/utils/advanced_run.html

免杀测试

使用方法

powershell成功上线

StopDefender

Github地址：
https://github.com/lab52io/StopDefender

免杀测试

使用方法

powershell成功上线

powershell

关闭 Windows defender

关闭 实时保护

其他技巧

MpCmdRun恢复被隔离的文件

MpCmdRun介绍

配置和管理 Microsoft Defender 防病毒软件的命令行工具

详情

https://learn.microsoft.com/en-us/microsoft-365/security/defender-endpoint/command-line-arguments-microsoft-defender-antivirus?view=o365-worldwide

寻找MpCmdRun位置

MpCmdRun的位置为：

C:ProgramDataMicrosoftWindows DefenderPlatform<antimalware platform version>

基础命令

移除Token导致Windows Defender失效

Windows Defender进程为MsMpEng.exe,MsMpEng.exe是一个受保护的进程(Protected Process Light，简写为PPL)

非 PPL 进程无法获取 PPL 进程的句柄，导致我们无法直接结束 PPL 进程 MsMpEng.exe, 但是我们能够以 SYSTEM 权限运行的线程修改进程 MsMpEng.exe 的 token, 当我们移除进程 MsMpEng.exe 的所有 token 后，进程 MsMpEng.exe 无法访问其他进程的资源，也就无法检测其他进程是否有害，最终导致 Windows Defender 失效。

本人没有利用成功过

工具地址

https://github.com/pwn1sher/KillDefender

https://github.com/Octoberfest7/KillDefender

https://github.com/Octoberfest7/KDStab

参考文章

https://mp.weixin.qq.com/s/27rvHpsnldnxpJaxwQrLGw

https://zhuanlan.zhihu.com/p/538571344

https://3gstudent.github.io/%E6%B8%97%E9%80%8F%E5%9F%BA%E7%A1%80-Windows-Defender

https://cloud.tencent.com/developer/article/1870239