搜索

[289] 2019-03-07_粘滞键后门详述

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2019-03-07_粘滞键后门详述 粘 滞 键 后 门 详 述 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 9 - 0 3 - 0 7 0 x 0 0 ： 介 绍 ： 介 绍 首 先 介 绍 一 下 粘 滞 键 ， 粘 滞 键 很 多 人 都 知 道 ， w i n d o w s   系 统 下 连 续 按   5   次   s h i f t   可 调 出 其 程 序 ， 但 使 用 可 能 有 一 部 分 人 不 太 了 解 ， 毕 竟 这 个 功 能 一 般 我 们 都 用 不 到 ， 粘 滞 键 是 为 了 那 些 按 钮 有 困 难 的 人 设 计 的 ， 也 可 理 解 为 残 疾 ， 就 是 按 键 困 难 ， 一 次 只 能 按 一 个 键 的 这 种 需 求 ， 那 么 如 果 用   c t r l + c ， c t r l + v   这 种 快 捷 键 或 者 其 他 需 要 组 合 的 键 时 ， 就 会 有 困 难 ， 不 具 备 一 次 按 两 个 或 多 个 键 的 能 力 ， 那 么 此 时 就 可 以 单 按   5   下   s h i f t   键 来 启 动 粘 滞 键 功 能 ， 粘 滞 键 启 动 后 ， 多 个 组 合 键 就 可 以 依 次 单 个 按 下 来 实 现 ， 例 如 复 制 ， 就 可 以 先 按 一 下   c t r l ， 然 后 再 按 一 下   c   即 可 ， 这 就 是 粘 滞 键 功 能 。 粘 滞 键 启 动 后 ， 图 标 如 下 ， 双 击 可 以 查 看 其 设 置 的 一 些 选 项 ， 如 下 图 ：
选 项 中 有 一 项 设 置 时 同 时 按 两 个 键 时 关 闭 粘 滞 键 ， 当 同 时 按 下 两 个 键 时 系 统 检 测 到 了 用 户 有 同 时 按 键 的 能 力 ， 则 会 关 闭 粘 滞 键 程 序 。 0 x 0 1 ： 旧 方 法 设 置 粘 滞 键 后 门 ： 旧 方 法 设 置 粘 滞 键 后 门 之 前 设 置 粘 滞 键 的 后 门 很 简 单 ， 直 接 将   s e t h c   程 序 替 换 成   c m d   程 序 ， s e t h c   即 粘 滞 键 程 序 ， 在   c : / w i n d o w s / s y s t e m 3 2   下 ， 删 除 s e t h c   或 者 重 命 名 一 下 ， （ 重 命 名 后   5   下   s h i f t   依 然 会 调 用 粘 滞 键 ， 且 修 改 成   s e t h c   的   c m d   也 会 执 行 ） 然 后 复 制   c m d   修 改 成 s e t h c   即 可 ， 这 时 在 目 标 机 登 录 页 面 连 续 按   5   下   s h i f t   可 调 出   c m d   命 令 行 。 这 里 有 一 个 问 题 ， 如 果 目 标 机 是   w i n v i s t a   以 上 的 ， 即   w i n v i s t a   以 后 出 的 系 统 ， 修 改   s e t h c   会 提 示 需 要   t r u s t e d i n s t a l l e r   权 限 ， t r u s t e d i n s t a l l e r   是 一 个 安 全 机 制 ， 即 系 统 的 最 高 权 限 ， 权 限 比   a d m i n i s t r a t o r   管 理 员 高 ， w i n d o w s   权 限 分 为 三 种 从 低 到 高 依 次 是   u s e r ， a d m i n i s t r a t o r ， s y s t e m 。 而   t r u s t e d i n s t a l l e r   比   a d m i n i s t r a t o r   高 但 没 有   s y s t e m   高 ， 这 么 做 的 好 处 是 避 免 了 一 些 恶 意 软 件 修 改 系 统 文 件 的 可 能 ， 坏 处 就 是 自 己 不 能 直 接 操 作 了 ， 所 以 要 先 修 改   s e t h c   需 要 将 其 所 有 者 改 为 改 为 我 们 当 前 管 理 员 用 户 。
修 改 所 有 者 需 要 在   s e t h c   右 键 属 性 ， 安 全 ， 高 级 ， 更 改 权 限 处 ， 切 换 到 所 有 者 选 项 卡 ， 把 所 有 者 更 改 ， 如 下 图 ： 在 该 所 有 者 之 前 ， 直 接 编 辑 其 权 限 都 是 灰 色 的 ， 不 能 修 改 ， 有 了 所 有 权 之 后 ， 便 可 以 编 辑 其 权 限 ， 这 里 需 要 给 予 自 己 权 限 ， 如 下 图 ：
这 时 可 以 重 命 名 ， 也 可 以 直 接 删 除 ， 然 后 复 制   c m d   修 改   s e t h c   即 可 ， 然 后 在 锁 屏 没 有 密 码 情 况 下 ， 可 以 直 接 按   5   下   s h i f t   调 出   c m d ， 执 行 添 加 新 用 户 等 操 作 ， 如 下 图 ： 0 x 0 2 ： 新 方 法 设 置 粘 滞 键 后 门 ： 新 方 法 设 置 粘 滞 键 后 门 新 方 法 设 置 粘 滞 键 后 门 是 通 过 注 册 表 来 实 现 ， 整 体 的 方 法 思 路 就 是 通 过 修 改 注 册 表 的 映 像 劫 持 和 打 开 其 远 程 桌 面 来 实 现 。 什 么 是 映 像 劫 持 ， 简 单 理 解 就 是 当 自 己 打 开 程 序   a   的 时 候 ， 实 际 上 是 打 开 的 程 序   b 。 这 个 功 能 是   w i n d o w s   自 带 提 供 给 一 些 开 发 调 试 软 件 用 的 ， 但 常 常 也 被 恶 意 的 病 毒 木 马 利 用 ， 比 如 我 们 要 记 录 的 当 打 开 粘 滞 键   s e t c h   的 时 候 却 打 开 了   c m d 。 设 置 映 像 劫 持 也 很 简 单 ， 只 需 要 在 注 册 表 的   H K L M S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n I m a g e   F i l e   E x e c u t i o n   O p t i o n s
位 置 添 加 被 劫 持 的 程 序 然 后 简 单 设 置 一 下 即 可 ， 我 们 通 过 命 令 行 执 行 以 下 程 序 ： 命 令 说 明 ： r e g   a d d   是 向 注 册 表 添 加 记 录 ， 后 面 跟 的 是 注 册 表 的 位 置 ， 这 里 需 要 注 意 的 是   H K L M   实 际 上 是 H K E Y _ L O C A L _ M A C H I N E   的 缩 写 。 I m a g e   F i l e   E x e c u t i o n   O p t i o n   这 个 目 录 就 是 用 来 设 置 镜 像 劫 持 的 ， 要 被 劫 持 的 就 是 命 令 中 的   s e t h c   粘 滞 键 程 序 ， 随 后 通 过   /   v   来 指 定 键 名 ， 这 个 键 名   d e b u g g e r   是 固 定 的 ， 然 后 通 过   /   t   来 指 定 类 型 ， 即   R E G _ S Z   字 符 串 类 型 ， 最 后 通 过   /   d   来 指 定 键 的 值 ， 即 被 恶 意 替 换 的 程 序 ， 也 就 是 我 们 的   c m d 。 设 置 完 镜 像 劫 持 后 就 已 经 有 了 我 们 旧 方 法 中 直 接 替 换   s e t h c   程 序 的 效 果 ， 但 我 们 为 了 方 便 利 用 ， 可 以 开 启 目 标 机 的 远 程 桌 面 ， 这 里 我 们 也 通 过 注 册 表 来 设 置 一 下 ， 需 要 设 置 两 个 参 数 。 第 一 个 是 把 远 程 桌 面 链 接 的 用 户 鉴 定 选 项 设 置 为 关 闭 状 态 ， 即 值 为   0 ， 命 令 行 运 行 以 下 命 令 ： 参 数 作 用 上 面 已 经 介 绍 过 ， 这 里 我 们 来 看 下 用 户 鉴 权 即   u s e r a u t h e n t i c a t i o n   这 个 参 数 的 作 用 ， 官 方 文 档 说 明 如 下 ： 什 么 意 思 呢 ， 0   的 说 明 是 进 行 远 程 桌 面 前 不 需 要 用 户 身 份 验 证 ， 还 是 默 认 值 ， 1   的 说 明 是 进 行 远 程 桌 面 前 需 要 进 行 用 户 身 份 验 证 。 为 了 更 好 的 理 解 ， 我 们 来 看 下 他 们 的 区 别 ， 下 面 是   u s e r a u t h e n t i c a t i o n   为   1   的 时 候 ： R E G   A D D   " H K L M S O F T W A R E M i c r o s o f t W i n d o w s   N T C u r r e n t V e r s i o n I m a g e   F i l e   E x e c u t i o n   O p t i o n s s e t h c . e x e "   / v   D e b u g g e r   / t   R E G _ S Z   / d   R E G   A D D   " H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l   S e r v e r W i n S t a t i o n s R D P - T c p "   / v   U s e r A u t h e n t i c a t i o n   / t   R E G _ D W O R D   / d  
当   u s e r a u t h e n t i c a t i o n   为   1   时 即 远 程 桌 面 前 进 行 用 户 身 份 验 证 ， 这 时 候 远 程 链 接 输 入   i p   后 会 要 求 输 入 用 户 名 和 密 码 ， 输 入 用 户 名 不 输 入 密 码 直 接 点 连 接 会 提 示 身 份 验 证 错 误 。 而 当   u s e r a u t h e n t i c a t i o n   为   0   时 ， 即 连 接 前 不 进 行 身 份 验 证 ， 这 时 候 输 入 用 户 名 不 输 入 密 码 点 连 接 会 直 接 到 远 程 桌 面 的 锁 屏 那 一 步 。 所 以 设 置 为   0   我 们 可 以 直 接 到 目 标 的 锁 屏 然 后 调 起   c m d 。 第 二 个 是 把 远 程 桌 面 连 接 的 安 全 层 设 置 为   0 ， 命 令 行 运 行 以 下 命 令 ： 参 数 我 们 不 多 说 ， 我 们 来 看 下 安 全 层   s e c u r i t y l a y e r   的 作 用 ， 官 方 的 说 明 如 下 ： R E G   A D D   " H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l   S e r v e r W i n S t a t i o n s R D P - T c p "   / v   S e c u r i t y L a y e r   / t   R E G _ D W O R D   / d  
简 单 来 说 ， 0   就 是 连 接 前 使 用   r d p   协 议 进 行 身 份 验 证 ， r d p   即 远 程 桌 面 连 接 ， 可 以 简 单 理 解 为 就 是 关 闭 验 证 。 1   是 指 在 连 接 前 两 端 协 商 来 进 行 身 份 验 证 ， 这 个 是 默 认 值 。 2   就 是 使 用   t l s   协 议 来 进 行 。 来 看 下   0   和   1   的 区 别 ： 在   u s e r a u t h e n t i c a t i o n   用 户 鉴 权 为   0   的 情 况 下 ， s e c u r i t y l a y e r   安 全 层 为   1   的 时 候 是 点 击 连 接 后 输 入 用 户 名 然 后 再 点 连 接 到 目 标 桌 面 ， 而 把   s e c u r i t y l a y e r   改 为   0   时 ， 点 击 连 接 ， 会 直 接 到 用 户 的 锁 屏 桌 面 ， 省 去 了 输 入 凭 证 那 一 步 。 所 以 我 们 设 置 为   0 ， 可 以 直 接 跳 到 锁 屏 桌 面 调   c m d 。 以 上 三 步 的 操 作 整 体 如 下 图 ， 因 为 我 之 前 已 经 设 置 过 ， 所 以 会 提 示 我 是 否 覆 盖 ： 以 上 操 作 的 基 础 是 目 标 机 开 启 了 远 程 桌 面 连 接 ， 所 以 我 们 这 里 也 记 录 下 如 何 开 启 远 程 桌 面 连 接 ， 首 先 是 配 置 一 下 防 火 墙 ， 设 置 为 允 许 远 程 桌 面 连 接 ， 命 令 行 运 行 以 下 命 令 ：
n e t s h   是   w i n d o w s   的 网 络 配 置 命 令 ， a d v f i r e w a l l   f i r e w a l l   意 思 是 防 火 墙 高 级 设 置 ， a d d   r u l e   是 添 加 一 条 规 则 ， n a m e   指 定 规 则 名 称 ， p r o t o c o l   指 定 协 议 ， d i r   指 定 是 出 战 还 是 入 站 ， l o c a l p o r t   指 定 端 口 ， a c t i o n   指 定 动 作   a l l o w   允 许 。 设 置 后 ， 我 们 再 通 过 注 册 表 来 设 置 一 下 允 许 远 程 桌 面 连 接 ， 命 令 行 运 行 以 下 命 令 ： 至 此 ， 我 们 的 粘 滞 键 后 门 就 已 经 完 成 了 ， 远 程 桌 面 连 接 输 入   i p   就 会 直 接 跳 到 目 标 锁 屏 页 ， 如 果 用 户 没 有 设 置 密 码 则 可 以 直 接 登 录 ， 如 果 有 密 码 而 又 不 知 道 密 码 的 情 况 下 ， 则 可 以 用   s h i f t   调 出 命 令 行 来 执 行 一 些 操 作 。 0 x 0 3 ： 问 题 记 录 ： 问 题 记 录 添 加 粘 滞 键 后 门 需 要 有 管 理 员 权 限 ， 以 之 前 的 替 换 程 序 方 法 来 说 ， 普 通 用 户 是 更 改 不 了   s e t h c   的 名 称 的 ， 也 无 法 进 行 删 除 。 新 方 法 在 命 令 行 操 作 注 册 表 时 也 需 要 有 管 理 权 限 ， 且 如 果 目 标 机 有 类 似 于   3 6 0   那 种 防 恶 意 修 改 的 杀 毒 软 件 的 话 ， 操 作 也 会 受 助 。 这 时 使 用 替 换 程 序 的 方 法 也 可 以 ， 或 者 想 办 法 操 作 目 标 主 机 修 改 下 设 置 ， 这 里 以   3 6 0   设 置 为 例 ， 首 先 在 设 置 映 像 劫 持 时 ， 注 册 表 会 提 示 拒 绝 访 问 ， 因 为 映 像 劫 持 的 字 段 名   d e b u g g e r   在   3 6 0   中 是 被 禁 止 修 改 的 ， 3 6 0   为 了 防 止 恶 意 软 件 的 操 作 ， 会 阻 止 这 一 项 的 修 改 ， 这 个 进 程 是   3 6 0   的   z h u d o n g f a n g y u . e x e ， 我 们 可 以 看 到 进 程 列 表 有 这 个 选 项 ， 如 下 图 ： 这 个 进 程 直 接 是 结 束 不 了 的 ， 即 使 使 用   p c h u n t e r   也 无 法 强 制 退 出 ， 这 个 自 我 保 护 功 能 可 以 在 设 置 里 关 闭 ， 位 置 在 设 置   -   自 我 保 护   -   开 启 主 动 防 御 服 务 。 n e t s h   a d v f i r e w a l l   f i r e w a l l   a d d   r u l e   n a m e = " R e m o t e   D e s k t o p "   p r o t o c o l = T C P   d i r = i n   l o c a l p o r t = 3 3 8 9   a c t i o n = a l l o w R E G   A D D   " H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l S e r v e r "   / v   f D e n y T S C o n n e c t i o n s   / t   R E G _ D W O R D   / D   0   / f
这 时 关 闭 后 注 册 表 还 会 提 示 错 误 拒 绝 服 务 ， 后 来 发 现 还 有 一 个 需 要 设 置 的 地 方 就 是 自 我 保 护 那 一 项 ， 主 动 防 御 的 上 一 项 就 是 ， 如 上 图 。 这 时 就 可 以 直 接 修 改 映 像 劫 持 。 如 果 怕 麻 烦 也 可 以 直 接 卸 载 ， 只 不 过 会 引 起 目 标 的 发 现 而 已 ， 所 以 推 荐 修 改 其 配 置 ， 如 果 条 件 不 允 许 ， 那 么 在 拿 到   s h e l l   且 提 权 的 情 况 下 ， 也 可 以 直 接 替 换   s e t h c   程 序 。 0 x 0 4 ： 总 结 ： 总 结 可 能 一 个 目 标 机 在 自 己 准 备 拿 下 的 时 候 已 经 被 别 人 入 侵 过 ， 也 已 经 添 加 了 后 门 ， 我 们 可 以 先   s h i f t   试 一 下 ， 也 许 就 回 弹 出 c m d 。 防 火 墙 杀 毒 软 件 如 果 条 件 苛 刻 ， 我 们 没 有 办 法 设 置 ， 那 么 直 接 替 换   s e t h c   也 可 以 ， 只 不 过 隐 蔽 性 稍 差 ， 同 时 我 们 也 可 以 通 过 其 他 方 法 ， 其 他 方 式 ， 留 下 多 个 不 同 的 后 门 ， 避 免 一 个 被 发 现 而 导 致 我 们 后 续 进 入 受 阻 。 欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理