.NET 免杀新思路，基于 Emit 技术实现的 WebShell

在红队打点阶段，常规 WebShell 已越来越容易被主流防护软件检测和拦截，而通过 .NET Emit 技术 动态构造恶意代码的方式，则提供了一种更隐蔽、更灵活的 webshell 实现手段。

本文将介绍一款红队实用工具 —— Sharp4EmitShell.aspx，该工具基于 .NET 的 System.Reflection.Emit 机制构建方法，并通过 HTTP 参数动态传入命令，实现远程命令执行RCE。

该 WebShell 利用了 .NET 中极少使用的 Emit 技术，动态生成中间语言，非传统 eval/exec/Process.Start，绕过传统基于特征匹配的静态检测，将此文件上传至目标服务器，访问方式如下所示。

http://localhost/Sharp4EmitShell.aspx?c=winver

参数 c 是用户要执行的系统命令，返回结果不会输出交互式的结果，运行后如下图所示。

综上，Sharp4EmitShell.aspx 基于 .NET Emit 技术构造动态执行路径的新型 WebShell 实现方式。在安全检测技术不断升级的今天，此类动态代码生成技术为红队提供了新的打点武器。文章涉及的工具已打包在星球，感兴趣的朋友可以加入自取。

从漏洞分析到安全攻防，我们涵盖了 .NET 安全各个关键方面，为您呈现最新、最全面的 .NET 安全知识，下面是公众号发布的精华文章集合，推荐大伙阅读！