基于辅助功能的镜像劫持攻击原理

基于辅助功能的镜像劫持攻击原理

在杀毒软件日益完备的互联网中，那些大部分以加载系统启动项为主要攻击手段的的普通病毒和木马越来越难以攻破用户的防御屏障，但与此同时，有一些病毒却“剑走偏锋“，不仅绕过了杀毒软件的检测，还在隐藏自己的同时攻破了系统。这些病毒是如何抓住用户心理，一步步突破了用户系统。

接下来，通过本篇文章，美创第59号安全实验室将为大家剖析基于辅助功能的镜像劫持攻击原理，向大家展现还原这种攻击所带来的巨大危害以及防御手段。

0x01 辅助功能简介

所谓辅助功能就是在Windows系统中，我们可以使用多种组合键打开或关闭特定的功能，例如常用的win + ctrl + o打开屏幕键盘，win + u打开设置中心，连按5次shift打开粘滞键等等。

而且微软为了提高用户体验，非常‘贴心’的允许用户在登陆系统前也可以使用这些功能，根据这个特性，某些攻击者很可能通过远程桌面协议，在未授权的情况下运行这些功能，虽然这些功能是‘友好的’，没有危害性，但我们知道，这些功能之所以可以运行其实是在命令行里运行的系统指令罢了，例如

C:\WINDOWS\System32\Utilman.exe 打开设置中心
C:\WINDOWS\System32\sethc.exe 打开粘滞键
C:\WINDOWS\Syetem32\osk.exe 打开屏幕键盘