7、利用Python实现Windows系统持久化及路径检测

利用Python实现Windows系统持久化及路径检测

1. 搜索HKU蜂巢中的Autorun键

在系统中，Autorun键可添加到三个位置，HKLM和HKCU蜂巢只是其中两个，计算机还会为HKEY_USERS（HKU）蜂巢中每个登录账户和组缓存注册表键。HKU蜂巢的结构与其他蜂巢不同，HKEY下的顶级键使用SID命名，搜索HKU蜂巢中修改过的Autorun键需要遍历这些键。

以下是搜索HKU蜂巢的步骤：
1. 调用 QueryInfoKey （传入HKU蜂巢常量）会产生三个输出值，第一个值表示HKU蜂巢中存在的子键数量。
2. 通过遍历这个范围并使用 winreg 的HKU常量和当前索引调用 EnumKey ，可以获取每个键的名称。
3. 得到账户的SID后，将其与Autorun键的相对路径组合，从顶级HKU键创建完整路径。
4. 将完整路径传递给 checkRegAutoruns ，会生成一个Autorun键列表并打印出来。

运行代码示例（以管理员身份运行）：

python DetectRegistryAutorun.py

运行结果示例：

Autoruns detected in HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
       Adobe Read