【权限维持技术】Windows Logon Scripts

免责声明

本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者及本公众号不为此承担任何责任。

Logon Script

1. 映射网络驱动器：登陆脚本可以用来在用户登录时自动连接到网络上的某个特定驱动器。
2. 安装更新：当有新的软件更新发布时，登陆脚本可以自动执行更新的安装。
3. 执行系统设置：例如，更改系统设置，应用一些特定的安全策略，或者修改注册表。
4. 启动应用程序：在用户登录Windows后自动启动某些应用程序或服务。
5. 数据备份：可以定期备份用户的个人数据或系统数据。

复现

1. 打开注册表，找到Logon Script键值：

EY_CURRENT_USEREnvironment

@echo offstart calc.exe

3. 设置完毕后，当用户登录时，就会自动执行Logon Script，本文以弹出计算器为例。

防范

1. 监控注册表读写，可以直接禁止注册表关键路径的写入
   

2. 监控用户登录时的系统动作，比如对外连接和文件写入

原文始发于微信公众号（赛博安全狗）：【权限维持技术】Windows Logon Scripts