红队技巧 -- 自启持久化

一、自启动文件夹

自启动文件夹, 字面意思, 把文件放入即可启动。启动条件是每次开机的时候会自动运行文件夹里的程序或者文件。

1进入自启动文件夹的两种方式:2、cmd: cd %AppData%MicrosoftWindows"StartMenu"ProgramsStartup3、win+r: shell:startup

二、注册表自启动

通过在注册表中写入相应的键值可以实现程序的开机自启动，主要是 Run 和RunOnce ，其中 RunOnce 和Run 区别在于 RunOnce 的键值只作用一次，执行完毕后会自动删除。

1、注册表：HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVer sionRunHKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVer sionRunOnceHKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVe rsionRunHKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVe rsionRunOnceHKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVe rsionRunOnceEx
2、基于策略的自启动注册表：HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVe rsionPoliciesExplorerRunHKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVer sionPoliciesExplorerRun
3、设置启动文件夹注册表：HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVer sionExplorer"User Shell Folders"HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVer sionExplorer"Shell Folders"HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVe rsionExplorer"Shell Folders"HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVe rsionExplorer"User Shell Folders"
4、设置服务启动项注册表:HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVe rsionRunServicesOnceHKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVer sionRunServicesOnceHKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVe rsionRunServicesHKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVer sionRunServices

详细注册表项可查看星球首个发出的文件（websec.pdf），这本书的作者整理的很好。

注册表查询：

reg query 注册表项

注册表项创建：

=REG ADD KeyName [/v ValueName | /ve] [/t Type] [/s Separator] [/d Data] [/f] [/reg:32 | /reg:64]

KeyName  [\Machine]FullKey

Machine  远程机器名 - 忽略默认到当前机器。远程机器上

只有 HKLM 和 HKU 可用。

FullKey ROOTKEYSubKey

ROOTKEY [ HKLM | HKCU | HKCR | HKU | HKCC ]

SubKey 所选 ROOTKEY 下注册表项的完整名称。

/v 所选项之下要添加的值名称。

/ve 为注册表项添加空白值名称(默认)。

/t RegKey 数据类型

[ REG_SZ | REG_MULTI_SZ | REG_EXPAND_SZ |REG_DWORD | REG_QWORD| REG_BINARY|REG_NONE ]

如果忽略，则采用 REG_SZ。

/s指定一个在 REG_MULTI_SZ 数据字符串中用作分隔符的字符

如果忽略，则将 "" 用作分隔符。

/d 要分配给添加的注册表 ValueName 的数据。

/f 不用提示就强行覆盖现有注册表项。

/reg:32  指定应该使用 32 位注册表视图访问的注册表项。

/reg:64  指定应该使用 64 位注册表视图访问的注册表项。

例如:

REG ADD \ABCHKLMSoftwareMyCo

添加远程机器 ABC 上的一个注册表项 HKLMSoftwareMyCo

REG ADD HKLMSoftwareMyCo /v Data /t REG_BINARY /d fe340ead

添加一个值(名称: Data，类型: REG_BINARY，数据: fe340ead)

REG ADD HKLMSoftwareMyCo /v MRU /t REG_MULTI_SZ /d faxmail

添加一个值(名称: MRU，类型: REG_MULTI_SZ，数据: faxmail)

REG ADD HKLMSoftwareMyCo /v Path /t REG_EXPAND_SZ /d ^%systemroot^%

添加一个值(名称: Path，类型: REG_EXPAND_SZ，数据: %systemroot%)

注意: 在扩充字符串中使用插入符号 ( ^ )

欢迎关注公众号：网络安全者

获取每日抽奖送书

本文内容来自网络，如有侵权请联系删除

原文始发于微信公众号（网络安全者）：红队技巧 -- 自启持久化