权限维持 -- schtask-bypass(过杀软)

admin 2022年11月9日00:57:23安全文章评论19 views902字阅读3分0秒阅读模式

===================================

免责声明

请勿利用文章内的相关技术从事非法测试,由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,作者不为此承担任何责任。工具来自网络,安全性自测,如有侵权请联系删除。

0x01 工具介绍

一个schtask工具绕过杀毒软件。引导自启动、定时执行任务、授权登陆的免杀方法。思路文档很容易参考微软官方的写的dll,之前试过exe不杀,但是dll免杀,直接编译,免杀。若想修改计划任务的名字,请源中wszTaskName,这里为了用户减少输入项暂时未让输入计划任务名字。如果想不落地可以参考该项目将dll转为shellcode并注入。通过AttachCon将输出转到父进程,获取到dll的输出关系。

0x02 安装与使用

1、Dll_task_boot

开机启动使用Dll_task_boot,以SYSTEM权限执行计划任务,filename为计划任务的启动程序:
rundll32 Dll_task_boot,DllMain filename

权限维持 -- schtask-bypass(过杀软)

2、Dll_task_login

登陆启动使用Dll_task_login,需要输入用户名、权限、计划任务的启动程序三个参数:
以管理员用户为例
rundll32 Dll_task_login,DllMain Administrator S-1-5-32-544 calc.exe
SID可以从whoami /all中当前所在组的别名中来找到

权限维持 -- schtask-bypass(过杀软)

3、Dll_task_time

定时执行计划任务使用Dll_task_time,以SYSTEM权限执行计划任务,需要输入间隔的分钟数以及计划任务的启动程序:

以每隔一分钟执行一次弹出计算器为例,同时请注意只有当启动程序退出之后才会再次执行计划任务,不会每隔一分钟就有一个新的会话上线服务器
rundll32 Dll_task_time,DllMain 1 calc.exe

权限维持 -- schtask-bypass(过杀软)

0x03 项目链接下载

1、通过阅读原文,到项目地址下载

2、关注公众号"网络安全者",后台回复:20221108

权限维持 -- schtask-bypass(过杀软)


原文始发于微信公众号(网络安全者):权限维持 -- schtask-bypass(过杀软)

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年11月9日00:57:23
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  权限维持 -- schtask-bypass(过杀软) http://cn-sec.com/archives/1397589.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: