在用户进行登陆时，winlogon运行指定的程序。...根据官方文档,可以更改它的值来添加与删除程序。...0x07 COM劫持 利用COM劫持技术，最为关键的是dll的实现以及CLSID的选择，通过修改CLSID下的注册表键值，实现对CAccPropServicesClass和MMDeviceEnumerator...这种方法可以绕过Autoruns对启动项的检测。 ? 0x08 远程控制 远控木马是一种恶意程序，其中包括在目标计算机上用于管理控制的后门。...管理员在平时运维过程应当保持警惕，掌握一定的入侵排查技巧，及时进行系统补丁更新，定期对服务器安全检查，才能有效地预防后门。
DFS-R 使用远程差分压缩 (RDC)，仅复制在复制组成员间的文件差分（增量）更改。当对自定义映像文件进行很小的更改时（如新的驱动程序），此功能对复制通信量的影响很大。...从这些子服务器构建的客户端计算机无需写入该文件夹，所以不必对任何帐户授予高于读取权限的权限。...使用 DFS-R 完成数据复制的最后一个配置步骤是在 WDS 中设置引导配置数据 (BCD) 存储刷新策略。这样可确保对引导环境所做的更改在每个子部署服务器上都可以反映出来。...当您启动进入部分接触 Windows PE 环境时，如果客户端已经从 WDS 服务器启动，则会在 Windows PE 中设置一个注册表值，其中存储客户端从其下载引导环境的服务器名称。...要配置 MDT2010，只需编辑 BootStrap.ini 和 CustomSettings.ini 配置文件，以便用 %WDSServer% 取代对部署服务器的引用。
如果没有改造过，默认情况下Server2008R2无法在远程会话更改缩放级别 DPI缩放的关键注册表键值虽然只要这2个，但相关的其他键值很多，改这2个，会影响其他的 reg query "HKCU\Control...|findstr LogPixels reg query "HKCU\Control Panel\Desktop\WindowMetrics"|findstr AppliedDPI 上图150%是我用注册表调的...add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "DefaultUserName" /d "Administrator...要真正恢复的话，就从正常机器导出这个路径的注册表HKEY_CURRENT_USER\Control Panel\Desktop\WindowMetrics 导入后重启机器。...，按钮是亮的 "无法从远程会话更改显示设置"这句话在server2016/2019/2022远程会话调整分辨率DPI缩放时都有，2019为何体验不一致？
我们经常使用安全模式来处理病毒、木马、流氓软件等，这是因为安全模式会忽略启动项。但是，并非所有的启动项都会被忽略，使得安全模式并不安全。...如注册表HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon下面的shell和UserInit，这两个键值也是病毒...、木马、流氓软件经常使用的注册表键，而且这两个键在安全模式下也能被运行，只不过shell在带命令行模式的安全模式下不会运行。...当然还有些程序以驱动、服务形式运行的，在安全模式下还是能运行，这些在注册表HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Control/SafeBoot中有定义...至于如何判断系统自动运行项目有哪些，个人推荐autoruns，能找出系统内可能会运行的项目。
恶意软件的作者对代码如此自信，以至于都忽略了阻碍分析的措施。...下表总结了对命令实现的细节分析： 命令 描述 spy_cb 读取剪贴板数据发送回 C&C 服务器，支持存储在剪贴板内的图像 spy_keylogger 记录键盘按键。...reg_list 列出指定注册表项的所有子项和值 reg_del 删除注册表项，然后将删除项发送到 C&C 服务器 reg_read 读取注册表项，将数据发送到 C&C 服务器 reg_value 在注册表中创建...这将使该文件从常规文件系统中不可见，并且成为系统文件 注册表HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell值默认包含字符串...卸载 将注册表键HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell恢复到默认值explorer.exe 删除创建的快捷方式
这样成功执行的是遭到“劫持”的虚假程序。 可视化修改 在iexplorer.exe中加入键值对:debugger c:\windows\system32\cmd.exe ?...例如，当在用户登录时，Winlogon 进程负责将用户配置文件加载到注册表中: HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\ HKCU...\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\ 对这些注册表项的恶意修改可能导致 Winlogon 加载和执行恶意 DLL 或可执行文件。...可以powershell一句话更改 Set-ItemProperty "HKLM:\SOFTWARE\Microsoft\WINDOWS NT\CurrentVersion\Winlogon" -...注册表位置: HKEY_CURRENT_USER\Environment 增加键值对 ? ?
技术篇 对常见的权限维持的技术原理、实现方法、检测技巧进行总结、复现。...注册表类： 普通注册表后门 在一般用户权限下，通常是将要执行的后门程序或脚本路径填写到如下注册表的键值中HKCU\Software\Microsoft\Windows\CurrentVersion\Run...而防御与检测策略也是比较好做的，在这些的注册表的位置查看是否有可疑程序即可。...注册表位置如下： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell HKEY_LOCAL_MACHINE...Address=*+Transport=HTTP @{Port="80"} //更改wimrm的端口，防止被怀疑 ? 查看状态： winrm e winrm/config/listener ?
在网络安全事件频发的今天，很多人都在抱怨，为什么我的系统被入侵了，我的主页被修改了，在入侵后，我采取了一些安全加固措施，可是没过几天又发现系统被入侵了！...WinLogon初始化时会创建3个桌面： （1）Winlogon桌面：主要显示Windows 安全等界面，如你按下“CTRL+ALT+DEL”快捷看所出现的登陆的界面等。...（2）应用程序桌面：我们平时见到的那个有我的电脑的界面。 （3）屏幕保护桌面：屏幕保护显示界面。 在默认情况下，Gina.dll或者Msgina.dll显示登陆对话框，用户输入用户名及密码。...使用“type boot.dat”可以看到记录的登录时间、用户、域名、密码以及旧密码。出现两个密码主要是用于记录用户更改了密码的情况下。 ?...（2）直接到注册表的键值“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\wminotify
[TOC] reg 命令 描述：reg命令是WindowsXP提供的,它可以添加、更改和显示注册表项中的注册表子项信息和值,以及导入导出注册表项....返回代码: (除了 REG COMPARE) 0 - 成功 1 - 失败 注意事项: 如果忽略ComputerName会导致默认对本地计算机进行操作。.../z 详细: 显示值名称类型的数字等值。 /reg:32 指定应该使用 32 位注册表视图访问的注册表项。 /reg:64 指定应该使用 64 位注册表视图访问的注册表项。...system32\ctfmon.exe" /f #开机启动输入法程序CTFMON reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon...，而该文件可用于注册表项的疑难解答或编辑注册表项。
(系统服务) 23、SCardSvr.exe对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。(系统服务) 24、snmp.exe包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。...为当前用户加载的区域设置来自以下注册表项： HKEY_CURRENT_USERKeyboard LayoutPreload Internat.exe 将"EN"图标加载到任务栏中，这使得用户可以轻松地在区域设置之间切换...当该进程停止时，此图标将消失，但是仍然可以通过"控制面板"更改区域设置。...本地安全身份验证服务器，它生成的进程将负责验证用户的身份以使用Winlogon 服务。该进程通过使用身份验证程序包（如默认的Msgina.dll）来执行。...这是任务管理器自身的进程 Winlogon.exe - 您无法从任务管理器中结束此进程。 该进程负责管理用户登录和注销。
，很容易被发现，我们可以通过访问注册表 ，并且删除后门计划任务的SD值，来隐藏计划任务。...CurrentVersion\RunOnceHKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce （向右滑动，查看更多） Logon Helper 在注册表的...Winlogon(HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon) 区域提取到明文帐号密码，但实际上我们也可以用来实现持久化。...\Winlogon\shell （向右滑动，查看更多） 我们直接替换的话，可能影响原本功能，因此我们额外添加要运行的程序及参数。...密钥对，那么我们可以窃取 id_rsa，在外部通过 SSH 远程登陆，如果没有，我们就可以生成密钥对 生成ssh-keygen -t rsa生成的目录/root/.ssh/重启ssh服务
.txt 搜索敏感文件名称 dir /s *pass* == *cred* == *vnc* == *.config* 更改服务的二进制路径 sc config upnphost binpath=...CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 12345 /f 注册表操作...查找注册表中的密码 reg query HKLM /f password /t REG_SZ /s 查询 winlogon 信息 reg query "HKLM\Software\Microsoft\...Windows NT\CurrentVersion\winlogon" 使用 powershell 下载文件 powershell -c "(new-object System.Net.WebClient...，看看执行的结果，了解一下这些命令的作用，看如何在实际的渗透中应用，话不多说，有好文章的给我投稿呦。
帮助程序，主要是用户登录时执行的程序，需要检查注册表下的子注册表当前的键值对 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion...常见取值为： 0x00000000（忽略）：忽略启动错误，继续启动服务。 0x00000001（正常）：如果启动错误，则系统会尝试重新启动服务。...安全描述符定义了对任务的访问权限和安全设置，包括哪些用户或组有权访问、更改或删除任务。...事件ID 12：RegistryEvent（对象创建和删除） 注册表项和值的创建和删除操作映射到此事件类型，这对于监视注册表自动启动位置的更改或特定的恶意软件注册表修改很有用。...杀毒程序扫描 这个就不多说了，大家选择已有或者合适的杀毒程序 0x33 Password Filter 密码过滤器是一种安全功能，用于在用户更改密码时对密码进行验证和强制规则。
研究者推测这一现象的原因是扩散模型通过最小化每个像素的预测损失来学习真实图像数据的分布，这个过程忽略了图像中物体各部分之间的语义相对关系，因此导致模型的收敛速度缓慢。...在推理过程中，MDT仍保持标准的扩散生成过程。...MDT的设计有助于Diffusion Transformer同时具有mask modeling表征学习带来的语义信息表达能力和扩散模型对图像细节的生成能力。...MDT的参数和推理成本与DiT基本一致，因为正如前文所介绍的，MDT推理过程中仍保持与DiT一致的标准的diffusion过程。...研究者认为，通过视觉表征学习增强对物理世界的语义理解，能够提升生成模型对物理世界的模拟效果。这正与Sora期待的通过生成模型构建物理世界模拟器的理念不谋而合。
对这两种路径之间细微差别的完整分析超出了本文的范围，但James Forshaw 已经很好地解释了它。本质上，Win32 路径是更完整的 NT 路径的简化版本，并且严重依赖于 NT 符号链接。...考虑到 SYSTEM 可以创建新的 NT 符号链接，并且您可以实际更改 NT 符号链接：只需删除它并重新创建它，使其指向您控制的东西。...此时符号链接已更改并指向我们可以控制的位置。...第 4 步 - 卸载 WdFilter.sys 要卸载 WdFilter，我们首先必须释放 Defender 本身对其施加的锁。...\n"; } return status; 本机函数NtUnloadDriver有一个参数，它是一个UNICODE_STRING包含驱动程序注册表路径的参数（这是一个 NT 路径，\Registry可以使用
, Csrss.exe, Wininit.exe, Winlogon.exe。...其中Xbootmgr 它会每隔 100ms 去检测系统，如果系统 80%以上的时间是空闲的，则认为系统启动完成，并且该阶段会累积10秒的空闲时间才会结束(这就是为什么开机到完成时间需要调整减 10s)。...其中TraceTail是开机完成后，trace数据的时间，一般忽略。 如果觉得哪个阶段的耗时增加，可展开对应的节点。...大家可能疑问这里为什么没有BIOS初始化阶段，主要由于这个阶段xbootmgr是从osloader阶段获取相应的etw事件，所以bios阶段时间无法获取。 ?...（规范其启动后对于DISK和CPU的占用）； 应用程序的启动代码避免用托管代码（CLR）； 自启动注册表不要用RunOnce； 【性能点】： 是否开机启动应用，开机启动应用增加多少开机时间 参考的文档：
一、配置自动登录可以通过注册表来配，也可以通过Autologon配置注册表配置示例：把如下代码（具体化密码）另存为autologon.reg双击导入并重启机器即可实现自动登录（重启后打开vnc，发现已经自动登录到桌面...）REGEDIT4[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]"AutoAdminLogon"="...1900年的1月1日0点（因为默认启动时间是创建任务的那一刻的时间，关机后再开机，当时时间服务没起来，少8个小时，启动时间在接近未来8小时，可能会导致重启后任务不能立即执行，而手动修改启动时间到1900...，以system用户挂载cfs形成的盘符图标是带红叉的，能正常访问mount那句就是普通挂载，并没有提权，因此形成的盘符图标是不带红叉的下图中的红叉盘符，W:是subst命令产生的，X:是提权后产生的，...都能正常访问图片网络挂盘图标有红叉时，打开powershell会有个提示，忽略即可图片
指定较新的版本将导致脚本失败。 注意 在 username和 password参数都存储在注册表中的纯文本。确保脚本完成后运行清除命令，以确保主机上仍没有存储凭据。...一些有用的关键选项是： Transport：无论侦听器是通过HTTP还是HTTPS运行，建议对HTTPS使用侦听器，因为数据已加密，无需进行任何进一步更改。...Port：监听器运行的端口，默认情况下是5985用于HTTP和5986HTTPS的端口。该端口可以更改为所需的任何端口，并与主机var对应ansible_port。...URLPrefix：要监听的URL前缀，默认为wsman。如果更改此ansiblewinrmpath设置，则必须将主机var设置为相同的值。...在Windows上使用SSH是试验性的，该实现可能会在功能版本中进行向后不兼容的更改。服务器端组件可能不可靠，具体取决于所安装的版本。
电脑是 PIII 800MHz 以上的可以尝试将数值更改为4或5。 4）顺便把关机也加速一下吧。...如果你以前遇到过这种情况，请查找user.dmp文件并删掉，可能会省掉几十M的空间。这是出错程序的现场，对我们没用。...]的数值数据更改为[0]。 ...打开注册表编辑器，找到“HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Control/CrashControl/”将AutoReboot键的Dword值更改为0...◆3、设置启动信息或增加警告信息 打开注册表编辑器，找到HKEY_LOCAL_MACHINE_SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
腾讯会议
