计划任务执行由谁决定｜ Windows 应急响应

意大利的猫

发布于 2024-01-05 15:18:38

1630

发布于 2024-01-05 15:18:38

文章被收录于专栏：漫流砂漫流砂

0x00 简介

由于 Windows 不开源，而 Windows 的某一项服务可能受多个配置项影响，所以很多研究员通过逆向的方式，分析服务调用过程，推测执行流程，例如

https://mp.weixin.qq.com/s/ktGug1VbSpmzh9CEGKbbdw https://mp.weixin.qq.com/s/aS5MRwnYR5pqE1PmKiH24w

这里不搞这么复杂，我们通过查询资料得知，计划任务的配置既存在于计划任务文件之中，又存在于注册表之中

接下来我们通过简单的实验，确定一下到底是计划任务文件还是注册表在决定着计划任务的执行结果，还是相互同步修改的？

测试环境: Windows Server 2016

不同操作系统的情况可能不同

整体思路如下：

创建两个计划任务，一个修改文件，一个修改注册表，之后观察两个计划任务的执行情况

计划任务文件地址

C:\Windows\System32\Tasks

注册表位置

注册表相关的在此位置
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule 

计划任务的 id、index、SD 在此位置
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree

计划任务的具体配置在此位置
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{id}

0x01 修改文件测试

1. 创建计划任务

taskschd.msc 打开任务计划程序，这名字有点绕口，后续称为计划任务程序

添加一个操作: 执行 cmd

将触发器设置为每 3 分钟执行一次

稍作等待

成功执行计划任务

2. 查看计划任务文件

计划任务文件地址

C:\Windows\System32\Tasks

<?xml version="1.0" encoding="UTF-16"?>
<Task version="1.2" xmlns="http://schemas.microsoft.com/windows/2004/02/mit/task">
  <RegistrationInfo>
    <Date>2024-01-04T01:53:37.7714703</Date>
    <Author>WIN-2MTJ8IQ5VEA\Administrator</Author>
    <URI>\test1</URI>
  </RegistrationInfo>
  <Triggers>
    <CalendarTrigger>
      <Repetition>
        <Interval>PT3M</Interval>
        <Duration>P1D</Duration>
        <StopAtDurationEnd>false</StopAtDurationEnd>
      </Repetition>
      <StartBoundary>2024-01-04T01:51:41</StartBoundary>
      <Enabled>true</Enabled>
      <ScheduleByDay>
        <DaysInterval>1</DaysInterval>
      </ScheduleByDay>
    </CalendarTrigger>
  </Triggers>
  <Principals>
    <Principal id="Author">
      <RunLevel>LeastPrivilege</RunLevel>
      <UserId>WIN-2MTJ8IQ5VEA\Administrator</UserId>
      <LogonType>InteractiveToken</LogonType>
    </Principal>
  </Principals>
  <Settings>
    <MultipleInstancesPolicy>IgnoreNew</MultipleInstancesPolicy>
    <DisallowStartIfOnBatteries>true</DisallowStartIfOnBatteries>
    <StopIfGoingOnBatteries>true</StopIfGoingOnBatteries>
    <AllowHardTerminate>true</AllowHardTerminate>
    <StartWhenAvailable>false</StartWhenAvailable>
    <RunOnlyIfNetworkAvailable>false</RunOnlyIfNetworkAvailable>
    <IdleSettings>
      <StopOnIdleEnd>true</StopOnIdleEnd>
      <RestartOnIdle>false</RestartOnIdle>
    </IdleSettings>
    <AllowStartOnDemand>true</AllowStartOnDemand>
    <Enabled>true</Enabled>
    <Hidden>false</Hidden>
    <RunOnlyIfIdle>false</RunOnlyIfIdle>
    <WakeToRun>false</WakeToRun>
    <ExecutionTimeLimit>P3D</ExecutionTimeLimit>
    <Priority>7</Priority>
  </Settings>
  <Actions Context="Author">
    <Exec>
      <Command>C:\Windows\System32\calc.exe</Command>
    </Exec>
    <Exec>
      <Command>C:\Windows\System32\cmd.exe</Command>
    </Exec>
  </Actions>
</Task>

3. 查看注册表

先获取该计划任务的 id

{E44EFFC6-29A1-470C-9553-52531D9962B5}

在 Tasks 上点击编辑 -> 查找

其中 Actions 就是计划任务执行的操作，是一个二进制值

4. 修改计划任务文件

删除掉执行 cmd 的操作，即删除

<Exec>
  <Command>C:\Windows\System32\cmd.exe</Command>
</Exec>

计划任务程序并没有发生改变，等待下次计划任务执行

多次执行结果都是计算机和 cmd 都执行了

此时查看注册表

并没有发生变化

5. 尝试重启服务器

当然，也可以尝试重启计划任务服务，虚拟机，重启服务器方便很多

依旧是两个操作都执行了

注册表没有被修改

6. 小结

看来计划任务文件不是决定计划任务执行结果的主因

0x02 修改注册表测试

1. 创建计划任务

删除掉 test1 ，创建一个一摸一样的 test2 ，这次两分钟执行一次

2. 查看计划任务文件

<?xml version="1.0" encoding="UTF-16"?>
<Task version="1.2" xmlns="http://schemas.microsoft.com/windows/2004/02/mit/task">
  <RegistrationInfo>
    <Date>2024-01-04T02:17:38.3850798</Date>
    <Author>WIN-2MTJ8IQ5VEA\Administrator</Author>
    <URI>\test2</URI>
  </RegistrationInfo>
  <Triggers>
    <CalendarTrigger>
      <Repetition>
        <Interval>PT2M</Interval>
        <Duration>P1D</Duration>
        <StopAtDurationEnd>false</StopAtDurationEnd>
      </Repetition>
      <StartBoundary>2024-01-04T02:17:29</StartBoundary>
      <Enabled>true</Enabled>
      <ScheduleByDay>
        <DaysInterval>1</DaysInterval>
      </ScheduleByDay>
    </CalendarTrigger>
  </Triggers>
  <Principals>
    <Principal id="Author">
      <RunLevel>LeastPrivilege</RunLevel>
      <UserId>WIN-2MTJ8IQ5VEA\Administrator</UserId>
      <LogonType>InteractiveToken</LogonType>
    </Principal>
  </Principals>
  <Settings>
    <MultipleInstancesPolicy>IgnoreNew</MultipleInstancesPolicy>
    <DisallowStartIfOnBatteries>true</DisallowStartIfOnBatteries>
    <StopIfGoingOnBatteries>true</StopIfGoingOnBatteries>
    <AllowHardTerminate>true</AllowHardTerminate>
    <StartWhenAvailable>false</StartWhenAvailable>
    <RunOnlyIfNetworkAvailable>false</RunOnlyIfNetworkAvailable>
    <IdleSettings>
      <StopOnIdleEnd>true</StopOnIdleEnd>
      <RestartOnIdle>false</RestartOnIdle>
    </IdleSettings>
    <AllowStartOnDemand>true</AllowStartOnDemand>
    <Enabled>true</Enabled>
    <Hidden>false</Hidden>
    <RunOnlyIfIdle>false</RunOnlyIfIdle>
    <WakeToRun>false</WakeToRun>
    <ExecutionTimeLimit>P3D</ExecutionTimeLimit>
    <Priority>7</Priority>
  </Settings>
  <Actions Context="Author">
    <Exec>
      <Command>C:\Windows\System32\calc.exe</Command>
    </Exec>
    <Exec>
      <Command>C:\Windows\System32\cmd.exe</Command>
    </Exec>
  </Actions>
</Task>