持久性事件日志联机帮助
翻译自:https://pentestlab.blog/2023/03/07/persistence-event-log-online-help/
事件查看器是 Microsoft Windows 的一个组件,用于显示与应用程序、安全性、系统和安装事件相关的信息。尽管该事件查看器主要用于管理员对窗口错误进行故障排除,但也可以在红队操作期间用作持久性的形式。为了帮助管理员通过 Web 检索特定事件 ID 的直接信息,Microsoft 嵌入了称为事件日志联机帮助的功能。
事件日志联机帮助将用户重定向到 Microsoft URL,并从以下注册表位置进行控制。HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionEvent Viewer
如果已获得本地管理员访问权限,则可以修改三个注册表项,以便在用户单击事件日志联机帮助后执行任意有效负载。这些键可以在下面找到:微软重定向程序MicrosoftRedirectionProgramCommandLineParameters微软重定向网址
一个非常简单的概念证明是触发一个消息框。#include #pragma comment (lib, "user32.lib") int WINAPI WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nCmdShow) { MessageBox(NULL, "pentestlab.blog", "Pentestlab", MB_OK); return 0; }
上面的代码可以使用MinGW编译以生成可执行文件。x86_64-w64-mingw32-g++ -O2 messagebox.cpp -o messagebox.exe -I/usr/share/mingw-w64/include/ -s -ffunction-sections -fdata-sections -Wno-write-strings -fno-exceptions -fmerge-all-constants -static-libstdc++ -static-libgcc -fpermissive
注册表项"MicrosoftRedirectionProgram"可以修改以包含已编译的可执行文件的位置。单击事件日志联机帮助将显示消息框,指示代码已执行。
事件日志联机帮助 – 消息框
以类似的方式,"msfvenom"可用于生成有效载荷。
msfvenom – 有效载荷生成
修改下面的注册表项以映射到以前生成的有效负载在磁盘上的位置将执行有效负载。
微软重定向计划 – 注册表项
单击"事件日志联机帮助"时,将建立连接。
事件日志联机帮助 – 计量器
第二个注册表项"MicrosoftRedirectionProgramCommandLineParameters"允许用户修改数据值以执行命令。一个非常常见的陆地二进制文件,如"regsvr32",可以用来执行无文件有效载荷。
Microsoft Redirection Program Command Line Parameters
Once the Event Log Online Help is clicked the command will be executed and a communication channel will established.
Meterpreter – regsvr32
The last registry key is the "MicrosoftRedirectionURL" which by default it points out to a Microsoft location. The registry value could be changed to point either to a malicious URL or to a payload which is dropped on the disk.
微软重定向网址
在上述所有方案中,将创建以下条件:父进程 (mmc.exe) – > 子进程(有效负载)
MMC – 父进程
EDR 应该标记 mmc 何时尝试生成不受信任的进程。此外,监视上述注册表项的更改可能会产生检测机会。由于需要访问Windows图形界面,并且考虑到普通用户通常不会打开事件查看器并单击Windows事件日志联机帮助,因此这种技术不太可能普及。但是,在假定的违规或恶意内部方案中,它可以用作通过 C2 通道维护活动连接的简单方法。
金榜题名(331)清朝状元骆成骧骆成骧(18651926),字公骕,四川资中人。光绪二十一年状元,官至山西提学使。民国元年,任四川省议会议长,后执教于四川法政学校成都高等师范。骆成骧人物生平骆成骧xing,光绪二
美丽集安走近高句丽王朝的前世今生,还有中唐名将高仙芝集安隶属吉林省通化市,建筑风格整齐划一,以灰白为主色调,街道安静又干净。这个被誉为东北小江南的中朝边境小城,历史底蕴深厚,曾是东北地区民族政权高句丽的都城。集安市人口主要构成为汉朝
严谨周密战国秦汉时期,已有管理水利的职官与法规历史时期的中国水资源是相当丰富的,水的存在塑造了一个独具特色的传统中国社会。长期以来,中国人的生活时常处于同水的复杂利用和斗争中。当水灾泛滥之时,人们采取防范措施应对洪水可能带来的
清太祖爱新觉罗努尔哈赤简介努尔哈赤靠什么得到的天下努尔哈赤为清朝做出了哪些贡献历史统一女真从明万历十九年(1591年)正月逐渐,努尔哈赤挥军朝东,攻占松花江路。万历二十一年(1593年)末,陆续吸引珠舍里路
清朝那些继位之君的母亲,哪一位在历史上的影响比较大之前写过一篇文章,叫清朝12帝各自的第一任皇后,结局大都不太好,说的是清朝十二位皇帝各自第一任皇后的故事,本文就跟大家一起来聊聊那些继位之君的母亲,在清朝历史上行都有怎样的影响。1
国内是否仍有德尔塔毒株流行?专家解答近期,部分地方新增感染者处于快速增长期,各地想方设法保健康防重症。目前国内是否仍有德尔塔变异株流行?抗新冠病毒药物该怎么用?针对公众关心的一些热点问题,国务院联防联控机制组织专家作
熵议125个科学问题工程3在火星复刻人类文明?该操心点啥问题HowcanwedevelopmanufacturingsystemsonMars?我们如何在火星上开发制造系统?不会重新发明轮子在火星上开发制造系统,其实与在月球上开发类似系
2022数字化科技人才招聘白皮书Z世代更关注专业对口工作,住房补贴成最受欢迎福利封面新闻记者雷强近年来,随着大数据人工智能区块链云计算5G等新一代信息技术加速创新,我国数字经济发展迅猛。众多数字职业在数字化发展趋势下被催生,数字领域从业人员规模逐渐壮大,成为了
适老App走形更得走心北京日报客户端实习记者高源日前,中国消费者协会发布适老化App消费监督评测项目研究报告指出,字体小广告多弹窗不易关闭等问题,常常困扰银发网民。特别是一些App还不同程度存在诱导下载
狠心皇帝开辟盛世,无辜太子因冤致死汉景帝刘启,是个性格很有特点的皇帝,年少未即位时,因下棋发怒,用棋盘砸死吴王刘濞的世子,为后来的七国之乱埋下隐患。七国之乱时,又听信袁盎的建议,斩杀晁错,眉头都不皱一下。为了国家利
年羹尧被处决后,雍正是如何处置他的妻女?手段非常残忍文鸭先知编辑旧时叙公元1722年,45岁的雍正从九子夺嫡中胜出,于康熙六十一年登基。雍正能够成功上位,这离不开年羹尧的鼎力相助,就连雍正都称年羹尧是自己的恩人。雍正但就在1726年