黑客入侵一台主机后,一般都想办法给自己留后门,其中使用最多的就是账户隐藏技术。账户隐藏技术可谓是最隐蔽的后门,一般用户很难发现系统中隐藏账户的存在,因此危害性很大,本文就对隐藏账户这种黑客常用的技术进行复现。
这是 WMI 攻击手法研究系列第三篇,本文将重点介绍与 Windows 注册表的交互。在开始之前需要了解的一件事情是:MITRE ATT&CK 对查询注册表 (Query Registry) 归类于 T1012 以及它的修改 (Modify Registry) 归类于 T1112。
今天在深圳的Windows 7社区发布活动讲了Session 2 -- Windows 7兼容性概述。今天参会的人员达到60多个,大家也非常积极的讨论。我的Session时间安排上有点紧张,没有留给大家提问的时间,最后由朱兴林回答在几个Session结束后统一回答大家的问题。在抽奖环节,我抽取一等奖的奖品-- windows 7,得主是位女生,各位得主最后有张合影。 我的PPT下载Win7应用开发兼容性.zip 下面简要介绍一下今天的内容:微软的操作系统更新换代仍然按照自己的步伐,从XP到2003、vist
本文重点阐述和分析 Docker 仓库与注册表的基础知识,包括容器镜像的管理和分享。我们将从各个角度、领域、层面和技术等多个角度分析 Docker 仓库与注册表的功能和使用方法,帮助读者更好地管理和分享容器镜像。
查看存储过程对应文件名命令:sp_helpextendedproc “存储过程名”
注册表根目录有 5 项,其中操作 HKEY_CURRENT_USER 不需要管理员权限,但是操作其它就需要了
在windows操作系统中攻击者可以通过创建隐藏账户来实现权限维持的目的,由于创建的隐藏账户无法通过命令行或者图形化界面的方式被检索到,所以此类权限维持的方式极为隐蔽,本篇文章将对隐藏账户的创建方式和检索方式进行复现
在渗透测试中,有三个非常经典的渗透测试框架--Metasploit、Empire、Cobalt Strike。
方法二:修改注册表,(注意修改注册表前一定要先备份一下注册表,备份方法。在运行>regedit,选择 文件》导出,取个文件名,导出即可,如果修改注册表失败,可以找到导出的注册表文件双击运行即可。)
发布者:全栈程序员栈长,转载请注明出处:https://javaforall.cn/119853.html原文链接:https://javaforall.cn
网传最多的办法,有个“Uninstall Edge.cmd" 的脚本文件,这种方法不可取,执行后影响后续的更新。
在这篇技术博文中,我们将深入探讨Windows软件更新过程中如何自动定位到旧版本的软件位置。涵盖注册表使用、配置文件管理、环境变量应用等多种方法,无论您是IT行业的新手还是经验丰富的开发者,本文将为您提供全面的指导和代码示例。通过详细的操作命令和代码案例,您将学会如何精确实现软件的无缝更新。关键词包括:软件更新、注册表、配置文件、环境变量、Windows API、自动定位技术等。
在渗透过程中拿下一台主机后很多时候会选择开3389进远程桌面查看一下对方主机内有无一些有价值的东西可以利用,但是这也引出了一个问题,只要是登录进程就一定会留下痕迹,虽然在渗透完成后可以通过痕迹清理的方法清除自己登录的"证据",但是在多次渗透的过程中我不禁产生了思考,有没有一种方法能够最大化的隐藏自己登陆过对方主机呢,于是便有了下文。
注册表键AlwaysInstallElevated是一个策略设置项,Window允许低权限用户以System权限运行安装文件,如果启用次策略设置项,那么任何权限的用户都能以NT AUTHORITY\SYSTEM权限来安装恶意的MSI文件,从安全的角度来看,攻击者可能会滥用这一点,以便将其权限升级到系统级别。
方法二:修改注册表,(注意修改注册表前一定要先备份一下注册表,备份方法。在 运行>regedit,选择 文件》导出 ,取个文件名,导出即可,如果修改注册表失败,可以找到导出的注册表文件双击运行即可。) HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters 新建 “DWORD值”值名为 “AutoShareServer” 数据值为“0”
本次实验设计的是一个基于C语言的恶意代码,其执行流程如下: 1、 在病毒第一次执行时,即检测到注册表的任务管理器没有被禁用,则病毒依次执行以下功能: 创建开机启动项,在系统目录路径下面复制文件,将其作为自启动路径; 禁用任务管理器; 禁用注册表编辑器; 联网获取图片并修改桌面背景(重启生效); 修改注册表屏蔽用户键盘输入为1(重启生效); 删除驱动器盘符,使桌面以及开始菜单快捷方式失效; 在桌面恶意增殖,生成名字随机的自身拷贝文件; 电脑强制关机; 2、计算机重新启动之后由于任务管理器已经被禁用,所以只在桌面恶意增殖,同时桌面背景更换并且键盘输入失效。 1.增殖模块 为了实现恶意代码的自我增殖,使用windows系统自带的API函数SHGetSpecialFolderPath,获取当前用户的桌面路径;使用GetModuleFileName函数,获取当前执行程序的路径,最后通过使用Copyfile函数,完成自我增殖。 增殖模块相关代码如图2.1所示。
注册表是Windows中的一个重要的数据库,用于存储系统和应用程序的设置信息,注册表是一个巨大的树形结构,无论在应用层还是内核层操作注册表都有独立的API函数可以使用,而在内核中读写注册表则需要使用内核装用API函数,如下将依次介绍并封装一些案例,实现对注册表的创建,删除,更新,查询等操作。
在Windows操作系统中,组策略、安全策略和注册表是系统配置和管理的三个重要组成部分。它们之间的交互关系及其如何影响系统的配置是值得我们深入探讨的。本文将为你揭示策略与注册表之间的联系以及策略配置是否能覆盖所有的注册表设置。
可以看到,在HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names下有我们所有的用户名(包括隐藏用户)!
方法2:禁止被访问445,配置高级安全防火墙-入站规则(在win7及以上系统,win2008及以上系统)
Python中可以使用winreg模块中的DeleteKey方法来删除注册表中的键,但该方法不能删除包含子键的键。所以,在删除某个键时要先删除它的所有子键,这里借助栈结构通过循环迭代的方式来获取注册表键的所有子键及子键的子键。完整代码如下:
但是使用net localgroup administrators或者“计算机管理” 就可以查看使用$创建的隐藏用户
攻击者通过创建服务进行权限维持过程中,常常会通过一些手段隐藏服务,本文主要演示通过配置访问控制策略来实现隐藏的方式以及排查方法的探索
在本文中,我们将简要介绍一下用户帐户控制,即UAC。我们还将研究它如何潜在地保护免受恶意软件的攻击并忽略UAC提示可能给系统带来的一些问题。
本文来源:https://www.cnblogs.com/backlion/p/10552137.html
黑客总是在用最简单的攻击方式来实现他们的目的,比如用已经存在了好多年的工具——Mimikatz(猕猴桃),它可以从系统内存中轻松获取到明文密码。 受影响的系统 Windows 7和Windows Server 2008(老系统也受影响)。 最新的Windows 8 / 10 、Windows Server 2012 / 2016原本是不受影响的,但是高权限的黑客可以通过修改注册表来实现这样的攻击。 风险 黑客拥有系统管理员权限,就能从内存中获取登录认证信息(明文/各种哈希格式)。 描述 在Windows X
PowerShell在过去的几年里在Offensive安全社区被广泛使用。但随着防御性安全行业的推进,正致使攻击性工具包从PowerShell迁移到反射C#以逃避现代安全产品的检测。其中一些改进包括脚本块记录,反恶意软件脚本接口(AMSI)以及第三方安全供应商针对恶意PowerShell活动签名的开发。目前已发布了多个C#工具包,如Seatbelt,SharpUp和SharpView,用以攻击生命周期各个阶段的任务。而在攻击生命周期中缺少C#工具包的一个阶段就是持久性。为此,FireEye Mandiant的红队创建了名为SharPersist的新Windows持久性工具包。
不要问我为什么不直接重做系统?因为安装的环境、工具以及Vbox虚拟机和各种文件、资料都需要备份并且重新安装恢复到奔溃前的状态(强迫症),弄起来会特麻烦,特别是vbox虚拟机在恢复时会出现各种各样的问题,所以不到万不得已时我不会选择重做系统。
在驱动中一般使用的是ANSI字符串和宽字节字符串,在驱动中我们仍然可以使用C中提供的字符串操作函数,但是在DDK中不提倡这样做,由于C函数容易导致缓冲区溢出漏洞,针对字符串的操作它提供了一组函数分别用来处理ANSI字符串和UNICODE字符串。 针对两种字符串,首先定义了它们的结构体
在红蓝对抗实战中,当我们获取到一台Windows主机的权限后,首先要做的就是怎么维持住该权限。因为防守方的实力也在不断增强,并且他们的流量监测设备也在不断监控,如果发现机器被植入木马,他们肯定会采取措施。
Windows注册表操作基础代码 Windows下对注册表进行操作使用的一段基础代码Reg.h: #pragma once #include<assert.h> #include<windows.h> class Reg { HKEY hkey; public: void open(HKEY root,char*subKey);//打开注册表键,不存在则创建 void del(HKEY root,char*subKey);//删除注册表键 void close();//关闭注册表键
一些安全研究员发现,通过修改创建的计划任务的注册表,同时删除计划任务文件,可以完全隐藏计划任务,并且执行不受影响
通知用户是否对应用程序使用硬盘驱动器和系统文件授权,以达到帮助阻止恶意程序损毁系统的效果。
Windows注册表就相当于Windows系统的数据库,系统和软件的配置信息放在注册表里面。如果注册表出现了问题,可能导致系统崩溃。我们平时是使用 regedit.exe 命令来使用图形化界面管理注册表的。而在很多时候,使用图形化界面管理注册表很麻烦。所以今天介绍一种使用纯命令行的工具(reg.exe)来管理注册表。使用 reg.exe 可以对注册表进行添加、删除、修改、查看等操作。
移动程序关联 URL 是常态,桌面应用程序其实也早就支持关联 URL 以便在浏览器中打开。当我们的程序关联了一个 URL 协议之后,开发的网站上就可以通过这个 URL 与程序进行互操作,这很互联网。
远程桌面对了解内网渗透的人来说可能再熟悉不过了。在渗透测试中,拿下一台主机后有时候会选择开 3389 进远程桌面查看一下对方主机内有无一些有价值的东西可以利用。但是远程桌面的利用不仅如此,本节我们便来初步汇总一下远程桌面在内网渗透中的各种利用姿势。
*本文原创作者:ArkTeam 发展 一直以来,文件是恶意代码存在的最常见形式,安全软件也通常把磁盘上的文件作为重点检测对象。然而,一旦恶意代码以无文件形式存储在系统中,便难以对其追踪。 早在十几年前,红色代码、Slammer蠕虫就利用缓冲区溢出进行攻击,通过网络传播,完全存在于内存之中,而不以文件作为载体。不过,这种基于内存的无文件(Fileless)攻击一旦进程或系统关闭,也就不复存在。 为了实现攻击持久化,攻击者们找到新的突破口——将恶意软件实体隐藏在注册表的某个键值里,并通过各种加密手段,来逃脱
在近期所进行的安全审计活动中,我们的团队设计出了一种新的安全工具,并希望能跟整个社区一起分享。
由于 Windows 不开源,而 Windows 的某一项服务可能受多个配置项影响,所以很多研究员通过逆向的方式,分析服务调用过程,推测执行流程,例如
随着Windows 11的发布,许多用户对其现代化的界面设计表示欢迎,但也有部分用户怀念Windows 10中更为简洁的传统右键菜单风格。如果你是其中之一,不必担心,本文将指导你如何通过简单的步骤,将Windows 11的右键菜单修改为类似于Windows 10的样式,让你的工作环境更加符合个人偏好。
关于MrKaplan MrKaplan是一款功能强大的红队安全研究工具,该工具可以帮助广大红队研究人员清理和隐藏活动中的代码执行痕迹。该工具可以通过保存文件运行时间、存储文件快照等信息来辅助红队活动,并将所有的取证信息与相关用户关联起来。 功能介绍 1、关闭系统事件日志记录功能; 2、清理文件和代码组件; 3、清理注册表; 4、支持多用户运行; 5、支持以普通用户或管理员身份运行(建议以管理员权限运行); 6、支持保存文件时间戳; 7、支持排除指定操作,并将组件留给蓝队人员。 工具下载 该工具本质
在“开始菜单”->“运行”中输入gpedit.msc打开组策略编辑器,在左边导航栏中选择“计算机配置”->“windows设置”->“脚本(启动/关机)”,双击其右边的“启动”选项,打开“启动属性”窗口:
今天室友电脑桌面出现两个无法删除的图标,分别为淘宝网和internet explorer(假的)
正常情况下,客户机到了一定的数量规模,都会启用域控来管理。我所经历过的几家公司里除了TK(研发部除外),基本上都有启用域控。域控的好处不言而喻,最重要的是他可以在控制台中心集中管理,网络方式推送策略更新管控,可控高效。而我们公司对电脑的管理并不是用域控,而是离线式的“批处理”文件来对本机注册表、组策略等做修改,使得用户即便是用本机Administrator的用户登录,也一样没有很多的权限,比如部分软件不可安装,部分软件不可使用,注册表和组策略被禁用,甚至连电脑属性都给隐藏掉了。
0x00 背景 搬砖过程中遇到一个很奇怪的现象。写了一个程序利用命令regedit来读取注册表的某项值,出现了一个奇怪的现象:在某些电脑上能读到值,在另一些电脑上无法读取。 0x01 排查过程 在无法读取的机器上手动查看,注册表确实是有这个值的。百思不得其解,猜测可能是权限的问题。 设置了注册表访问权限 程序使用管理员权限运行 试了以上两种方法还是不行。 思考是否为进程权限太低?于是使用Processexp看一下进程的权限。当看到进程路径时,看出了一点端倪。 在x86的机器上,我们程序调用的regedit的
COM是微软公司为了计算机工业的软件生产更加符合人类的行为方式开发的一种新的软件开发技术。在COM构架下,人们可以开发出各种各样的功能专一的组件,然后将它们按照需要组合起来,构成复杂的应用系统。
昨天做CS批量上线的时候发现,内网渗透的本质都是信息收集,也就是收集各种账号密码,一旦有了密码,这个系统也就不攻而破了。然后就在网上以及查阅资料中,整理了以下的搜集姿势。
为了更好的体验,重新又生成了一版EasyShu插件专属的修复工具,若在使用EasyShu产品(Excel+PPT两款插件)的读者们可以备一份,比通用性的增加了图片识别和一键完成无需遍历。
领取专属 10元无门槛券
手把手带您无忧上云