windows 替换 粘滞键_windows权限维持&后门

Windows篇

✪Shift后门：

Windows粘滞键：按5下shift运行system32的sethc.exe

在没有登录系统的时候按5下默认以system权限运行

✪镜像劫持：

进入注册表

添加一个项名字为sethc.exe

增加一个字符串为debugger

添加debugger值为c:\windows\system32\cmd.exe

本人亲测何种方式启动sethc.exe都会替换为cmd.exe

✪添加影子账户

此账户net user是看不到的

右键我的电脑点击管理

本地用户和组

进入到注册表

Sam默认是没有权限读的

修改一下

进入到注册表

将administrator对应的f值替换到test$的f值

将user和mane对应的test$注册表文件导出到桌面

删除test$账户

运行两个文件创建影子账户

可以看到管理和net user都是看不到此用户的

只有在注册表可以看到

✪计划任务后门

Schtasks /create /tn(计划任务的名字)”6666” /tr(执行的程序) cmd.exe /sc(执行时间间隔) minute /mo(时间参数) 1

✪注册表自启动：

进入注册表

添加一个字符串值

重启一下

Ok了