权限维持 -- schtask-bypass(过杀软)

admin 2022年11月9日00:57:23评论149 views字数 902阅读3分0秒阅读模式

===================================

免责声明

请勿利用文章内的相关技术从事非法测试,由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,作者不为此承担任何责任。工具来自网络,安全性自测,如有侵权请联系删除。

0x01 工具介绍

一个schtask工具绕过杀毒软件。引导自启动、定时执行任务、授权登陆的免杀方法。思路文档很容易参考微软官方的写的dll,之前试过exe不杀,但是dll免杀,直接编译,免杀。若想修改计划任务的名字,请源中wszTaskName,这里为了用户减少输入项暂时未让输入计划任务名字。如果想不落地可以参考该项目将dll转为shellcode并注入。通过AttachCon将输出转到父进程,获取到dll的输出关系。

0x02 安装与使用

1、Dll_task_boot

开机启动使用Dll_task_boot,以SYSTEM权限执行计划任务,filename为计划任务的启动程序:
rundll32 Dll_task_boot,DllMain filename

权限维持 -- schtask-bypass(过杀软)

2、Dll_task_login

登陆启动使用Dll_task_login,需要输入用户名、权限、计划任务的启动程序三个参数:
以管理员用户为例
rundll32 Dll_task_login,DllMain Administrator S-1-5-32-544 calc.exe
SID可以从whoami /all中当前所在组的别名中来找到

权限维持 -- schtask-bypass(过杀软)

3、Dll_task_time

定时执行计划任务使用Dll_task_time,以SYSTEM权限执行计划任务,需要输入间隔的分钟数以及计划任务的启动程序:

以每隔一分钟执行一次弹出计算器为例,同时请注意只有当启动程序退出之后才会再次执行计划任务,不会每隔一分钟就有一个新的会话上线服务器
rundll32 Dll_task_time,DllMain 1 calc.exe

权限维持 -- schtask-bypass(过杀软)

0x03 项目链接下载

1、通过阅读原文,到项目地址下载

2、关注公众号"网络安全者",后台回复:20221108

权限维持 -- schtask-bypass(过杀软)


原文始发于微信公众号(网络安全者):权限维持 -- schtask-bypass(过杀软)

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年11月9日00:57:23
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   权限维持 -- schtask-bypass(过杀软)http://cn-sec.com/archives/1397589.html

发表评论

匿名网友 填写信息