本文共 3917 字，大约阅读时间需要 13 分钟。
attrib +s +a +r +h filename / attrib +s +h filenameaux|prn|con|nul|com1|com2|com3|com4|com5|com6|com7|com8|com9|lpt1|lpt2|lpt3|lpt4|lpt5|lpt6|lpt7|lpt8|lpt9LOLBAS，全称Living Off The Land Binaries and Scripts (and also Libraries)，是一种白利用方式，是在2013年DerbyCon由Christopher Campbell和Matt Graeber发现，最终Philip Goh提出的概念。
这些程序一般有有Microsoft或第三方认证机构的签名，但是除了可以完成正常的功能，也能够被用于内网渗透中。这些程序可能会被用于：下载安全恶意程序、执行恶意代码、绕过UAC、绕过程序控制等。
sethc.exe 是 Windows系统在用户按下五次shift后调用的粘滞键处理程序，当有写文件但是没有执行权限时，可以通过替换sethc.exe的方式留下后门，在密码输入页面输入五次shift即可获得权限。
在高版本的Windows中，替换程序是受到系统保护的，需要使用其他的技巧来实现替换。
具体操作为在注册表的 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Option下添加项 sethc.exe，然后在 sethc.exe 这个项中添加 debugger 键，键值为恶意程序的路径。
Windows下有schtasks和at 两种计划任务机制。 其中 at在较高版本的Windows中已经弃用。
Windows可以在用户登录前执行脚本，使用 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit设置。
也可在 HKCU\Environment\路径下设置UserInitMprLogonScript 来实现。
Windows可以自定义屏幕保护程序，使用HKEY_CURRENT_USER\Control Panel\Desktop设置。
Windows可以使用在用户名后加入 $来创建隐藏用户，这种帐户可在一定条件下隐藏，但是仍可以通过控制面板查看。
在创建隐藏用户的基础上，可以修改注册表的方式创建影子用户，这种方式创建的用户只能通过注册表查看。
CLR (Common Language Runtime Compilation) 公共语言运行时，是微软为.NET产品构建的运行环境，可以粗略地理解为.NET虚拟机。
.NET程序的运行离不开CLR，因此可以通过劫持CLR的方式实现后门。
Winlogon是一个Windows组件，用来处理各种活动，如登录、注销、身份验证期间加载用户配置文件、关闭、锁定屏幕等。这种行为由注册表管理，该注册表定义在Windows登录期间启动哪些进程。所以可以依靠这个注册表来进行权限维持。
注册表位置如下：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell用于执行exe程序HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit用于执行exe程序HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify用于执行dll文件UAC (User Account Control) 是Windows Vista 和 Windows Server 2008 引入的一个安全机制，当一些敏感操作发生时，会跳出提示显式要求系统权限。
当用户登陆Windows时，每个用户都会被授予一个access token，这个token中有security identifier (SID) 的信息，决定了用户的权限。
通过在注册表中写入相应的键值可以实现程序的开机自启动，主要是 Run 和 RunOnce ，其中RunOnce和Run区别在于RunOnce的键值只作用一次，执行完毕后会自动删除。
权限提升有多重方式，有利用二进制漏洞、逻辑漏洞等技巧。利用二进制漏洞获取权限的方式是利用运行在内核态中的漏洞来执行代码。比如内核、驱动中的UAF或者其他类似的漏洞，以获得较高的权限。
逻辑漏洞主要是利用系统的一些逻辑存在问题的机制，比如有些文件夹用户可以写入，但是会以管理员权限启动。
在Windows中用户可以写的敏感位置主要有以下这些
AppData TempC:\，默认情况下用户可以写入C:\ProgramData的子目录，默认情况下用户可以创建文件夹、写入文件C:\Windows\Temp的子目录，默认情况下用户可以创建文件夹、写入文件具体的ACL信息可用AccessChk, 或者PowerShell的 Get-Acl命令查看。
可以利用对这些文件夹及其子目录的写权限，写入一些可能会被加载的dll，利用dll的加载执行来获取权限。
MOF是Windows系统的一个文件（ c:/windows/system32/wbem/mof/nullevt.mof）叫做"托管对象格式"，其作用是每隔五秒就会去监控进程创建和死亡。
当拥有文件上传的权限但是没有Shell时，可以上传定制的mof文件至相应的位置，一定时间后这个mof就会被执行。
一般会采用在mof中加入一段添加管理员用户的命令的vbs脚本，当执行后就拥有了新的管理员账户。
net use \\%computername% /u:%username% 重置密码尝试次数Set-MpPreference -disablerealtimeMonitoring $true转载地址：http://xdaof.baihongyu.com/