Windows权限维持

向目标主机的注册表添加键值，使后门程序开机自启

Userinit注册表键的作用是用户在进行登陆时，WinLogon进程运行指定的程序，可以更改它的值来添加与删除程序。具体键值：

userinit优先于很多杀软启动，通过调用powershell(例如web_delivery模块)，可以做到无文件落地，实现一定程度的免杀效果。

优先于杀软启动，和userinit类似，但是需要在目标磁盘上留下文件，隐蔽性不佳。注册表位置：

创建字符串键值: UserInitMprLogonScript

键值设置为后门的绝对路径 C:\1.bat

此时，登录按5次shift键即可上线cs。

此时关闭记事本，会上线cs。

此时使用dir看不到该文件，使用dir /r才可以看到

或者使用notepad打开能看到文件内容

通过gpedit.msc组策略设置"脚本(启动/关机)"、"脚本(登录/注销)"

在安装了IIS的Windows服务器上，通过WinRM服务，组合HTTP.sys驱动自带的端口复用功能，一起实现正向的端口复用后门。

3.需要注意的点

https://www.secpulse.com/archives/103301.html

https://paper.seebug.org/1004/

1

winrm service 默认都是未启用的状态，先查看状态；如无返回信息，则是没有启动；

winrm enumerate winrm/config/listener

2

针对winrm service 进行基础配置：

winrm quickconfig

为windows开启winrm service, 以便进行远程管理

3

查看winrm service listener:

winrm e winrm/config/listener

为windows开启winrm service, 以便进行远程管理

4

为winrm service 配置auth:

winrm set winrm/config/service/auth @{Basic="true"}

为windows开启winrm service, 以便进行远程管理

5

为winrm service 配置加密方式为允许非加密：

winrm set winrm/config/service @{AllowUnencrypted="true"}

为windows开启winrm service, 以便进行远程管理

6

至此，winrm service 已经启用，可以正常使用；

---