神兵利器 | 一款创建隐藏注册表项的Tools(附下载)

admin 2022年11月29日02:01:15安全工具评论20 views826字阅读2分45秒阅读模式

声明:公众号分享的安全工具和项目均来源于网络,仅供安全研究与学习之用,如用于其他用途,由使用者承担全部法律及连带责任,与工具作者和本公众号无关。

0x01 工具介绍

一个很好的后门持久性技巧,用来混淆DFIR调查。使用NtSetValueKey本机API创建隐藏(以空结尾)注册表项。这是通过在UNICODE_STRING键值名称前面添加一个空字节来实现的。

有关此技术的更多信息,请参阅以下白皮书:
https://github.com/ewhitehats/InvisiblePersistence/blob/master/InvisibleRegValues_Whitepaper.pdf
该工具使用以下注册表路径创建隐藏的运行项:如果是用户,则为HKCU,否则为HKLM
HKCUSOFTWAREMicrosoftWindowsCurrentVersionrunHKLMSOFTWAREMicrosoftWindowsCurrentVersionrun

0x02 使用方法

若要创建隐藏的注册表(运行)项,请执行以下操作:
SharpHide.exe action=create keyvalue="C:WindowsTempBla.exe" 

神兵利器 | 一款创建隐藏注册表项的Tools(附下载)

若要创建带有参数的隐藏注册表(运行)项,请执行以下操作:

SharpHide.exe action=create keyvalue="C:WindowsTempBla.exe" arguments="arg1 arg2"

神兵利器 | 一款创建隐藏注册表项的Tools(附下载)

删除隐藏的注册表(运行)项:

SharpHide.exe action=delete

神兵利器 | 一款创建隐藏注册表项的Tools(附下载)

该工具也适用于Cobalt Strike的execute-assembly。

神兵利器 | 一款创建隐藏注册表项的Tools(附下载)

创建隐藏注册表后在读取Run键时会显示一条错误消息。

神兵利器 | 一款创建隐藏注册表项的Tools(附下载)

文章来源:Hack分享吧

0x03 下载地址

https://github.com/outflanknl/SharpHide

原文始发于微信公众号(EchoSec):神兵利器 | 一款创建隐藏注册表项的Tools(附下载)

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年11月29日02:01:15
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  神兵利器 | 一款创建隐藏注册表项的Tools(附下载) http://cn-sec.com/archives/1431560.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: