权限维持及后门持久化技巧总结

在攻击者利用漏洞获取到某台机器的控制权限之后，会考虑将该机器作为一个持久化的据点，种植一个具备持久化的后门，从而随时可以连接该被控机器进行深入渗透。本文从Windows持久化，Linux持久化和Web持久化对现有技术进行了总结，对于持久化的攻击形式，主要是靠edr、av等终端产品进行检测。

为了使电脑更易于使用和访问，Windows 添加了一些辅助功能。这些功能可以在用户登录之前以组合键启动。根据这个特征，一些恶意软件无需登录到系统，通过远程桌面协议就可以执行恶意代码。

一些常见的辅助功能如：

C:WindowsSystem32sethc.exe    粘滞键    快捷键：按五次 shift 键

C:WindowsSystem32utilman.exe     设置中心   快捷键：Windows+U 键

C:WindowsSystem32osk.exe        屏幕键盘

C:WindowsSystem32Magnify.exe    放大镜      快捷键：Windows+加减号

在较早的 Windows 版本，只需要进行简单的二进制文件替换，比如经典的shift后门是将C:WindowsSystem32 sethc.exe替换为cmd.exe。对于在 Windows Vista 和 Windows Server 2008 及更高的版本中，替换的二进制文件受到了系统的保护，因此这里就需要另一项技术：映像劫持。

映像劫持，也被称为「IFEO」（Image File Execution Options）, 是Windows内设的用来调试程序的功能，Windows注册表中存在映像劫持子键(Image File Execution Options)。

当我们双击运行程序时，系统会查询该IFEO注册表，如果发现存在和该程序名称完全相同的子键，就查询对应子健中包含的“dubugger”键值名，如果该参数不为空，系统则会把 Debugger 参数里指定的程序文件名作为用户试图启动的程序执行请求来处理。这样成功执行的是遭到“劫持”的虚假程序。

具体实现最简单的操作就是修改注册表，

以设置中心utilman.exe为例：HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Option中添加 utilman.exe 项，在此项中添加 debugger 键，键值为要启动的程序路径。对应的cmd命令如下：

REG ADD "HKLMSOFTWAREMicrosoftWindowsNTCurrentVersionImage File Execution Optionsutilman.exe" /tREG_SZ /v Debugger /d "C: est.bat" /f

注册表键值情况及启动效果：

检测及清除办法：

检查HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Option注册表路径中的程序名称及键值。

2.2.1开始菜单启动项

开始菜单启动项，指示启动文件夹的位置，具体的位置是“开始”菜单中的“所有程序”-“启动”选项：

C:UsersAdministratorAppDataRoamingMicrosoftWindowsStart   MenuProgramsStartup

相关键值: 

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerUser   Shell Folders 

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerShell   Folders 

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerShell   Folders 

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerUser   Shell Folders

在重新启动后，该目录的快捷方式或应用程序会在系统启动的时候被执行：

检测及清除办法：检查相关注册表键值或使用autoruns。

2.2.2启动项注册表后门

最常见的在启动项注册表键值添加一个新的键值类型为REG_SZ,数据项中添写需要运行程序的路径即可以启动，此类操作一些较为敏感容易被本地AV拦截，目前也是较为常见的一种方式。

启动项键值路径如下：

HKEY_LOCAL_MACHINESOFTWAREMicroftwindowscurrentversion un

使用命令：

reg add HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun   /v "Keyname" /t REG_SZ /d "C: est.bat" /f