如何創建Powershell持久隱蔽後門

*本文原創作者：al0ne_，本文屬FreeBuf原創獎勵計劃，未經許可禁止轉載

用戶開機後每次運行特定的快捷方式文件時觸發一段惡意的powershell 代碼，原始應用程序仍然啟動，原始圖標保留，並且沒有powershell.exe窗口彈出。

1、安裝後門

這次需要用到powershell攻擊框架Empire，使用Empire/data/module_source/persistence/Invoke-BackdoorLNK.ps1這個腳本

-LNKPath是要利用的lnk的路徑，每次打開這個lnk文件時都會執行原始的應用程序和 -E

ncScript後面的惡意powershell代碼

先通過empire生成反彈的powershell代碼

./empire 進入empire

輸入listeners 進入監聽界面 設置好ip與埠

launcher 1 生成power shell代碼

這裡我們只複製 -Enc 後面的代碼

然後執行

看到以上界面就代表後門安裝完成

當我們運行navicat快捷方式的同時 可以看到powershell.exe

已經

2、實現原理

它會將原來快捷目標修改為powershell.exe的地址，並且利用powershell去運行navicat程序與惡意代碼。

解密後的代碼

點擊快捷方式後先執行快捷方式原來鏈接的目標，然後在註冊表讀取HKCU:SoftwareMicrosoftWindowsdebug的值運行（後門安裝時把執行的代碼加密後放到了

HKCU:SoftwareMicrosoftWindowsdebug裡面

3、後門的清除

執行 以下命令清除後門

4、總結

利用快捷方式去攻擊，已經是一個很老的話題了，但是有時候滲透中添加啟動項/服務/任務計劃失敗的情況下可以嘗試用此方法，劫持一個經常使用的程序快捷方式，達到許可權維持的效果，windows下基於powershell的攻擊方式也會越來越強大。

參考文獻：

github

，文章相關請聯繫qq：195062545

*本文原創作者：al0ne_，本文屬FreeBuf原創獎勵計劃，未經許可禁止轉載

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！