搜索

[11321] 2017-05-08_如何创建Powershell持久隐蔽后门

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-18
2017-05-08_如何创建Powershell持久隐蔽后门 如 何 创 建 P o w e r s h e l l 持 久 隐 蔽 后 门 a l 0 n e _   F r e e B u f   2 0 1 7 - 0 5 - 0 8 * 本 文 原 创 作 者 ： a l 0 n e _ ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 用 户 开 机 后 每 次 运 行 特 定 的 快 捷 方 式 文 件 时 触 发 一 段 恶 意 的 p o w e r s h e l l   代 码 ， 原 始 应 用 程 序 仍 然 启 动 ， 原 始 图 标 保 留 ， 并 且 没 有 p o w e r s h e l l . e x e 窗 口 弹 出 。 1 、 安 装 后 门 这 次 需 要 用 到 p o w e r s h e l l 攻 击 框 架 E m p i r e ， 使 用 E m p i r e / d a t a / m o d u l e _ s o u r c e / p e r s i s t e n c e / I n v o k e - B a c k d o o r L N K . p s 1 这 个 脚 本 - L N K P a t h 是 要 利 用 的 l n k 的 路 径 ， 每 次 打 开 这 个 l n k 文 件 时 都 会 执 行 原 始 的 应 用 程 序 和   - E n c S c r i p t 后 面 的 恶 意 p o w e r s h e l l 代 码 先 通 过 e m p i r e 生 成 反 弹 的 p o w e r s h e l l 代 码 . / e m p i r e     进 入 e m p i r e 输 入 l i s t e n e r s     进 入 监 听 界 面     设 置 好 i p 与 端 口 l a u n c h e r   1     生 成 p o w e r   s h e l l 代 码
这 里 我 们 只 复 制   - E n c   后 面 的 代 码 然 后 执 行 看 到 以 上 界 面 就 代 表 后 门 安 装 完 成 当 我 们 运 行 n a v i c a t 快 捷 方 式 的 同 时     可 以 看 到 p o w e r s h e l l . e x e 已 经 悄 悄 的 链 接 e m p i r e
2 、 实 现 原 理 它 会 将 原 来 快 捷 目 标 修 改 为 p o w e r s h e l l . e x e 的 地 址 ， 并 且 利 用 p o w e r s h e l l 去 运 行 n a v i c a t 程 序 与 恶 意 代 码 。 解 密 后 的 代 码 点 击 快 捷 方 式 后 先 执 行 快 捷 方 式 原 来 链 接 的 目 标 ， 然 后 在 注 册 表 读 取 H K C U : S o f t w a r e M i c r o s o f t W i n d o w s d e b u g 的 值 运 行 （ 后 门 安 装 时 把 执 行 的 代 码 加 密 后 放 到 了 H K C U : S o f t w a r e M i c r o s o f t W i n d o w s d e b u g 里 面 ）
3 、 后 门 的 清 除 执 行   以 下 命 令 清 除 后 门 4 、 总 结 利 用 快 捷 方 式 去 攻 击 ， 已 经 是 一 个 很 老 的 话 题 了 ， 但 是 有 时 候 渗 透 中 添 加 启 动 项 / 服 务 / 任 务 计 划 失 败 的 情 况 下 可 以 尝 试 用 此 方 法 ， 劫 持 一 个 经 常 使 用 的 程 序 快 捷 方 式 ， 达 到 权 限 维 持 的 效 果 ， w i n d o w s 下 基 于 p o w e r s h e l l 的 攻 击 方 式 也 会 越 来 越 强 大 。 参 考 文 献 ： g i t h u b ， 文 章 相 关 请 联 系 q q ： 1 9 5 0 6 2 5 4 5 * 本 文 原 创 作 者 ： a l 0 n e _ ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理