Invoke-DOSfuscation

收录理由

蓝队日常看到的cmd.exe攻击手法，往往只是攻击者实际能利用的冰山一角，而这款框架正是为了把剩余的攻击面完整测绘出来而生的。它源于FIN7曾利用cmd.exe原生的环境变量字符串替换特性，绕过传统检测手段成功得手，这一案例促使作者开发出基于PowerShell的生成器，能够把普通命令转换成数千种混淆变体。对防御者而言，内置的测试台才是最有价值的部分：生成样本后，它会逐条运行你基于正则的检测规则，并标记出零命中或极少命中的样本。工具还附带1,000条预置样本命令，以及Sysmon和安全事件日志文件，方便检测工程师提前演练规则集、封堵盲区，而不是等攻击者找上门来才发现漏洞。