本文是offensive csharp development的第五篇文章，主要讲解如何使用c#进行amsi bypass。
首先我们先来看一下什么是amsi。
AMSI的全称是反恶意软件扫描接口（Anti-Malware Scan Interface），是从Windows 10开始引入的一种机制。AMSI是应用程序和服务能够使用的一种接口，程序和服务可以将“数据”发送到安装在系统上的反恶意软件服务（如Windows Defender）。
服务和应用程序可以通过AMSI来与系统中已安装的反恶意软件通信。
AMSI为终端安全供应商提供了丰富的接口以帮助他们更好地对目标组件进行内存缓冲区安全扫描，或选择需要扫描的内容。根据微软提供的信息，AMSI支持的组件有如下几种：
1、用户账户控制（UAC）
2、PowerShell（脚本、交互使用和动态代码计算）
3、Windows脚本主机（wscript.exe和cscript.exe）
4、JavaScript和VBScript
5、Office VBA宏
AMSI的整体架构如下：
我们可以使用windbg来查看具体信息：
代码语言：javascript代码运行次数：0运行复制<code class="javascript">x amsi!Amsi*</code>
主要就是AmsiScanBuffer与AmsiScanString这两个函数的作用。查看详细
代码语言：javascript代码运行次数：0运行复制
<code class="javascript">u amsi!AmsiScanString L60</code>
因为AmsiScanString会调用AmsiScanBuffer，所以我们一般patch掉AmsiScanBuffer来进行bypass amsi。
常用方法如下：
代码语言：javascript代码运行次数：0运行复制<code class="javascript">xor eax, eaxret</code>
剩下的就是来编写代码了。
patch前后：
代码语言：javascript代码运行次数：0运行复制<code class="javascript">amsi!AmsiScanBuffer:00007ffb`dd183310 4c8bdc mov r11,rsp00007ffb`dd183313 49895b08 mov qword ptr [r11+8],rbx00007ffb`dd183317 49896b10 mov qword ptr [r11+10h],rbp00007ffb`dd18331b 49897318 mov qword ptr [r11+18h],rsiamsi!AmsiScanBuffer:00007ffb`dd183310 b857000780 mov eax,80070057h00007ffb`dd183315 c3 ret00007ffb`dd183316 084989 or byte ptr [rcx-77h],cl00007ffb`dd183319 6b1049 imul edx,dword ptr [rax],49h00007ffb`dd18331c 897318 mov dword ptr [rbx+18h],esi</code>
效果：
之后
代码地址：https://github.com/lengjibo/OffenSiveCSharp/tree/master/AmsiBypass
此篇也是该系列的最后一篇文章了，希望对大家有所帮助。
关于星球
之前后台一直有粉丝留言想要个星球或者群之类的交流之所，很可惜群很难有一个交流氛围，于是便和0xAxSDD老哥筹建了一个Redteamspace知识星球，此星球是主要是为了探讨前沿的红队技术，以及一些不为人所知的骚姿势，营造一个良好的学习氛围，如果你与我们一样热爱技术，善于分享，那么请加入我们吧！
