当前位置：首页 > news >正文

windows主机持久化技术

news 来源：原创 2025/5/9 21:43:03

1.windows主机持久化

映像劫持，也被称为IFEO，本身是windows的一项正常功能，主要用于调试程序，其初衷是在程序启动时开启调试器来调试程序，可以通过注册表中的计算机\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options进行设置

2.原理和利用方式

新建项notepad.exe，表示检测可执行程序notepad.exe，当运行notepad时，执行Debugger中的cmd.exe 例如，我们在注册表中新建一个notepad.exe项，然后把它的值设置为cmd.exe，当我们打开记事本的时候就会打开cmd.exe 新建字符串值

通过这个可以执行恶意程序，常用于检测sethc.exe,sethc是windows中按5次shift键之后的提示，我们修改之后按5次shift键之后就会直接调出想要调用的程序了，权限是system

3.创建任务计划程序

schtasks /create /tn NewTask /tr cmd.exe /sc minute /mo 5 /ru system //以system用户权限，每5min执行一次cmd.exe程序，计划任务名称为NewTask

4.删除计划任务

schtasks /delete /tn NewTask NewTask是计划任务名字

或者可以直接搜索任务计划程序，然后创建计划任务

删除也可以直接在任务计划中直接删除 schtask就可以看到计划任务了或者schtask /query都可以

5.用户登录的初始化

在注册表中，存在HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogin\Userinit其中Userinit的作用是在用户进行登录初始化时设置，让Winlogin进程指定的Login scripts当设置为指定值时，就能达到效果

比如我们通过Userinit项的值添加上想要执行的程序或者脚本，比如添加上notepad.exe，当用户登录时，则会触发该程序，如果攻击者将其设置为木马程序等，就能够在用户登录成功时触发，需要注意的是，触发的应用程序的权限与登录用户的权限相同，比如以普通用户登录，则触发后的程序也是普通用户的权限这里测试，添加一个notepad.exe

当我们注销之后，再次登录系统之后就会打开notepad.exe

6.Environment设置

在注册表中，存在HKEY_CURRENT_USER\Environment,其中HKEY_CURRENT_USER为当前登录用户的设置项，Environment为环境变量的设置利用方式：新建项UserInitMprLoginScript，值设置为对应的需要执行的内容，新建项后，当重新登录该用户则会启动cmd.exe 相比于其他登录触发的设置，使用环境变量可以绕过一些AV的敏感操作拦截，因为Login Scripts会优先于AV先实行

创建完成之后注销重新登录即可触发

7.影子用户

在基础的用户隐藏中，我们知道通过在用户名后面加一个$符号，以实现用户从net user命令的结果中隐藏，但是通过这种隐藏仍然可以通过用户管理程序，wmic命令和注册表来排查利用方式：要想进一步隐藏就需要用到影子用户了，在注册表中HKLM_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names中，找到Administrator用户的F值，我们来操作一下首先创建隐藏用户，查看是否可以通过net user查看