权限维持
权限维持
浅笑⁹⁹⁶
这个作者很懒,什么都没留下…
展开
-
内网渗透----常见后门
0x01.综合利用手法1.Smbrelaysmbrelayx.py由于此手法是中间件攻击,需要关闭SMB的签名措施,Windows Server默认开启,其他系统默认关闭,使用 nmap扫描一下未开启签名的机器:nmap -sT -p 445 --open --script smb-security-mode.nse,smb-os-discovery.nse 192.168.91.0/24...原创 2019-05-31 20:03:29 · 1247 阅读 · 0 评论 -
后门及持久化访问4----Com组件劫持
代码及原理介绍 COM是Component Object Model(组件对象模型)的缩写,COM组件由DLL和EXE形式发布的可执行代码所组成。每个COM组件都有一个CLSID,这个CLSID是注册的时候写进注册表的,可以把这个CLSID理解为这个组件最终可以实例化的子类的一个ID。这样就可以通过查询注册表中的CLSID来找到COM组件所在的dll的名称。所以要想COM劫持,必须精心挑选CLSID,尽量选择应用范围广的CLSID。这里,我们选择的CLSID为:{b5f8350b-0548...原创 2020-07-01 14:55:29 · 1077 阅读 · 0 评论 -
后门及持久化访问3----进程注入之AppInit_DLLs注册表项
进程注入之AppInit_DLLs注册表项User32.dll被加载到进程时,会获取AppInit_DLLs注册表项,若有值,则调用LoadLibrary() API加载用户DLL。只会影响加载了user32.dll的进程。HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Window\Appinit_Dlls代码如下:#include #include using namespace std;int原创 2020-07-01 14:55:11 · 782 阅读 · 0 评论 -
后门及持久化访问2----进程注入之AppCertDlls 注册表项
代码及原理介绍如果有进程使用了CreateProcess、CreateProcessAsUser、CreateProcessWithLoginW、CreateProcessWithTokenW或WinExec函数,那么此进程会获取HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SessionManager\AppCertDlls注册表项,此项下的dll都会加载到此进程。Win7版本下没有“AppCertDlls”项,需自己创建。代码如下原创 2020-07-01 14:54:50 · 1085 阅读 · 0 评论 -
后门及持久化访问1----辅助功能镜像劫持
代码及原理介绍 为了使电脑更易于使用和访问,Windows添加了一些辅助功能。这些功能可以在用户登录之前以组合键启动。根据这个特征,一些恶意软件无需登录到系统,通过远程桌面协议就可以执行恶意代码。一些常见的辅助功能如:C:\Windows\System32\sethc.exe 粘滞键 快捷键:按五次shift键 C:\Windows\System32\utilman.exe 设置中心 快捷键:Windows+U键 在较早的Wind...原创 2020-07-01 14:54:29 · 533 阅读 · 0 评论