wmic 创建事件消费者实现自启动

「已注销」

于 2025-01-21 22:45:02 发布

阅读量280

点赞数 1

分类专栏： windows inners 文章标签： windows 自启动持久化

本文链接：https://blog.youkuaiyun.com/pureman_mega/article/details/145287812

版权

windows inners 专栏收录该内容

40 篇文章

订阅专栏

wmic /NAMESPACE:"\\root\subscription" PATH __EventFilter CREATE Name="test", EventNameSpace="root\cimv2",QueryLanguage="WQL", Query="SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'"

wmic /NAMESPACE:"\\root\subscription" PATH CommandLineEventConsumer CREATE Name="test", ExecutablePath="C:\Windows\System32\cmd.exe",CommandLineTemplate="C:\Windows\System32\cmd.exe"

wmic /NAMESPACE:"\\root\subscription" PATH __FilterToConsumerBinding CREATE Filter="__EventFilter.Name=\"test\"", Consumer="CommandLineEventConsumer.Name=\"test\""

运行后效果如下：

最新版本的火绒不拦截这个命令，eset nod32阻止创建。