首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

取得PowerShell中远程注册表项的所有权

在PowerShell中,要取得远程注册表项的所有权,可以使用以下步骤:

  1. 首先,确保你具有足够的权限来访问远程计算机的注册表。你需要是目标计算机上的管理员或具有适当权限的用户。
  2. 使用Enter-PSSession命令建立与远程计算机的会话。例如,如果要连接到名为"RemoteComputer"的远程计算机,可以运行以下命令:
代码语言:txt
复制
Enter-PSSession -ComputerName RemoteComputer
  1. 进入远程计算机后,使用Set-ItemProperty命令来设置注册表项的所有权。以下是设置所有权的示例命令:
代码语言:txt
复制
Set-ItemProperty -Path "Registry::HKEY_LOCAL_MACHINE\Software\YourRegistryKey" -Name Owner -Value "YourUsername"

其中,"Registry::HKEY_LOCAL_MACHINE\Software\YourRegistryKey"是你要设置所有权的注册表项的路径,"Owner"是你要设置的所有权属性的名称,"YourUsername"是你要设置为所有者的用户名。

  1. 完成后,你可以使用Exit-PSSession命令退出远程会话:
代码语言:txt
复制
Exit-PSSession

以上是在PowerShell中取得远程注册表项所有权的步骤。通过这种方式,你可以在远程计算机上设置注册表项的所有权属性。请注意,这些命令仅适用于PowerShell环境,并且需要在具有足够权限的情况下执行。

页面内容是否对你有帮助?
有帮助
没帮助

相关·内容

Window权限维持(四):快捷方式

现有快捷方式目标字段将被修改以执行存储在注册表项base64脚本。 usemodule persistence/userland/backdoor_lnk ?...在Windows登录期间,快捷方式将尝试在注册表项上执行值,该注册表项包含base64格式stager。 ? 杂项 PoshC 在常见红色团队工具包之外,还有多个脚本可用于开发恶意快捷方式。...EmpireEmpire包含一个持久性模块,该模块可以后门合法快捷方式(.LNK),以执行任意PowerShell有效负载。现有快捷方式目标字段将被修改以执行存储在注册表项base64脚本。...可以通过执行以下命令来调用此技术:install-persistence 3PoshC2 –启动LNK文件在Windows登录期间,快捷方式将尝试在注册表项上执行值,该注册表项包含base64格式stager...生成扩展名将包含一个PowerShell命令,该命令将从远程服务器下载文件并直接在系统上执行。

1.3K30

Window权限维持(五):屏幕保护程序

屏幕保护程序设置存储在注册,从令人反感角度来看,最有价值值是: HKEY_CURRENT_USER\Control Panel\Desktop\SCRNSAVE.EXE HKEY_CURRENT_USER...可以通过命令提示符或从PowerShell控制台修改或添加注册表项。由于.scr文件本质上是可执行文件,因此两个扩展名都可以用于后门植入。...Nishang框架包含一个PowerShell脚本,该脚本也可以执行此攻击,但与上述方法相比,它需要管理级别的特权,因为它在本地计算机中使用注册表项来存储将执行远程托管有效负载PowerShell命令...在这种情况下,可以使用Metasploit Web交付模块生成并托管PowerShell负载。...一旦用户会话变为空闲,屏幕保护程序将执行PowerShell负载,然后将打开一个meterpreter会话。

1.1K10

如何获得PowerShell命令历史记录

0x00前言 我在最近学习过程,发现PowerShell命令历史记录有时会包含系统敏感信息,例如远程服务器连接口令,于是我对PowerShell历史记录功能做了进一步研究,总结一些渗透测试中常用导出历史记录方法...进程历史记录。...\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall{57E5A8BB-41EB-4F09-B332-B535C5954A28} 只需要删除这个注册表项及子项即可实现在已安装程序列表隐藏...删除注册表项CMD命令: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{57E5A8BB-41EB-4F09...对于低版本Powershell,如果命令包含敏感信息(如远程连接口令),需要及时清除,命令为:Clear-History 对于cmd.exe,如果命令包含敏感信息(如远程连接口令),需要及时清除

12.9K30

某远控RCE绕过某数字利用方式

0x01 前言 群友在某次项目测试遇到一个存在向日葵远程命令执行漏洞IP,目标环境Windows2016+360+Wdf,由于存在360而无法通过向日葵漏洞利用工具执行命令进行下一步测试。...360拦截了,因为它们都是基于Powershell那个Payload来写,而360又对Powershell进程链监控非常严,所以被拦也正常。...C:\Progra~1\Oray\SunLogin\SunloginClient\config.ini 因为较高版本向日葵将ID和Pass写进注册表里了,所以在配置文件是找不到,可通过执行以下命令读取对应注册表项获取...如果目标主机向日葵为自定义路径安装,那么我们该如何得到他安装路径去读取config配置文件呢?可以使用sc qc命令查询向日葵服务得到安装路径,或者读取向日葵服务对应注册表项。...0x06 文末总结 首先我们是解决了向日葵利用工具执行命令被360拦截问题,后边其实大部分测试都是在向日葵远程命令执行漏洞下如何去绕过360进程防护执行木马、脚本、读注册表、导出SAM、添加管理员等

1.3K10

【漏洞通告】微软SMBv3协议远程代码执行漏洞(CVE-2020-0796)PoC公开处置手册

应急等级: 黄色 版本:1.2 1 漏洞概述 北京时间6月2日晚,绿盟科技监测到有研究人员公布了SMBv3协议远程代码执行漏洞(CVE-2020-0796)远程利用PoC代码,极大增加了该漏洞潜在危害...4.2 补丁检测 在受影响范围内操作系统,可执行以下命令查看补丁安装情况。...图标,在弹出菜单中选择“运行”菜单项,在弹出运行框输入regedit,打开注册表编辑器。...在 “HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters”目录添加一个DWORD类型注册表项DisableCompression...如需撤销禁用SMBv3压缩功能,将该注册表项数值修改为0或删除注册表项即可。

90220

Windows之注册表介绍与使用安全

1.4.2 导入和导出注册表项 通常情况下,通过双击注册表文件(*.reg)也可将注册表文件内容导入到注册表从而修改注册表。...●查找要导入文件,单击选中该文件,再单击“打开”。 1.4.3 更改项和值 1.4.3.1 查找字符串、值或注册表项 ●单击“编辑”菜单“查找”。...●在“查找目标”框,键入要查找字符串、值或注册表项。 ●选中“项”、“值”、“数据”和“全字匹配”复选框,以匹配要搜索类型,然后单击“查找下一个”。...在“数值数据”框,键入该值新数据,然后单击“确定”。 1.4.3.5 删除注册表项或值 单击要删除注册表项或值项。 在“编辑”菜单上,单击“删除”。 注意:可以从注册删除注册表项和值。...2.1 禁用危险远程注册表 在Win NT/2000/XP/2003下,当你在编辑注册表时,可曾留意注册表编辑器菜单注册表→连接网络注册表”一项?

1.5K20

PowerShell实战:文件操作相关命令笔记

可创建项类型取决于项位置。 例如,在文件系统 New-Item 创建文件和文件夹。 在注册, New-Item 创建注册表项和条目。New-Item 还可以设置它创建值。...还可以通过管道将值传递给 New-Item ● -Confirm:用于创建操作运行cmdlet之前是否需要确认 ● -Force:针对文件夹,不会覆盖,只会返回之前创建文件夹,针对文件或者注册表会覆盖文件内容...它支持删除许多不同类型项,包括文件、文件夹、注册表项、变量、别名和函数。...3、Rename-Item 项重命名该命令主要是用来给项目进行重命名,支持文件、目录、注册表等文件类型,并且也可以批量重命名操作。...文件重命名,当前demo.txt 文件名修改为 demonew.txtRename-Item demo.txt -NewName "demonew.txt"重命名该注册表项Rename-Item -Path

27820

权限维持分析及防御

sethc.exe或者在“控制面板”关闭“启用粘滞键”选项 2、注册表注入后门 在普通用户权限下可以将后门程序或脚本路径填写到启动项注册,当系统管理员登录系统时触发后门 这个在ATT&CKPersistence...\mimilsa.log (2)方法二 将mimikatzmimilib.dll放到系统C:\Windows\System32\目录下,并将mimilib.dll添加到注册,重启也能持久化...c:\windows\system32\kiwissp.log (3)防范 查看hklm\system\currentcontrolset\control\lsa\Security Packages注册表项是否含有可疑...: 在控制域控制器后,可以通过注入SID History属性完成持久化任务 拥有高权限SID用户可以使用PowerShell远程导出域控制器ntds.dll 如果不再需要通过SID History属性实现持久化...其团队从成立至今多次参加国际网络安全竞赛并取得良好成绩,积累了丰富竞赛经验。团队现有三十多位正式成员及若干预备人员,下属联合分队数支。

97310

StripedFly:揭开恶意软件常年隐身秘密

该加载程序包括system.img副本,并随后在Windows注册表项Software\Microsoft\Windows\CurrentVersion\Run以类似GUID名称注册。...如果没有管理权限,PowerShell脚本加载程序将被放置在HKCU\Software\Microsoft\Windows\CurrentVersion\Applets注册表项,然后使用以下命令将其注册到...在PowerShell可用两种情况下,该恶意软件归档本身主体将被存储在注册表项Software\Microsoft\Windows\CurrentVersion\Shell,由Base64编码,并通过上述...服务模块 配置存储 该模块通过在Windows版本HKCU\Software\Classes\TypeLib密钥创建一个类似GUID注册表项,安全地存储AES加密恶意软件配置。...在初始执行时,它会立即通过修改受害者系统上HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters注册表项来禁用SMBv1协议。

25410

渗透技巧——”隐藏”注册创建

); 创建注册表项键值test1并赋值: 读取该注册表项下键值test1内容: MyQueryValueKeyString(hKey,"test1"); 删除该注册表项键值test1: MyDeleteValueKey...、删除隐藏注册表键值,思路如下: 对于注册表项隐藏,在注册表项名称首位填”\0”即可 对应注册表键值隐藏,原理上也是在键值名称首位填”\0”,但在参数传递上需要注意更多问题 1.不需要修改功能...创建注册表键、打开注册表键和删除注册表键功能不需要修改,使用正常名称即可 2.设置注册表键值 对应源代码MySetHiddenValueKey 传入参数使用char型数组,,用来定义注册表键值名称...参照2,需要注意”\0”影响 4、删除注册表键值 对应源代码MyDeleteHiddenValueKey 参照2,需要注意”\0”影响 实际测试: 创建注册表项test2,创建隐藏注册表键值\...0x06 小结 本文介绍了Poweliks使用过注册表隐藏技术,分析原理,编写c程序实现功能,测试powershell实现代码

1.4K80

后门技巧之使用网站关键字进行反连

Twitter大牛@MattGraeber和@ChrisCampbell介绍了一种使用网站关键字来触发系统shellcode技术。...这种技术主要优点是shellcode直接从内存执行,不容易被发现,通过注册表项实现持久化。 C2Code -PowerShell脚本如下: ?...当PowerShell脚本在目标主机上执行时,它将在网站上查找已经给出特定关键字,如果关键字存在将执行有效负载 ? 打开一个Meterpreter会话进行监听,成功反弹回来。 ? ?...Matt Nelson还创建了一个Office宏,执行相同技术,但是会另外创建一个注册表项,每次用户登录时执行C2Code PowerShell脚本,以保持持久性。 ?...这是一个很好后门方式,没有引入任何新东西或造成很大动静,就可以完成一次交互,小编和他小伙伴都惊呆了。

45810

这五款工具被全球黑客广泛使用,中国菜刀入榜

这五款工具如下: 1.远程访问木马: JBiFrost 2.Webshell: China Chopper 3.凭证窃取工具: Mimikatz 4.横向移动工具: PowerShell Empire...它通过在名为Local Security Authority Subsystem Service(LSASS)Windows进程访问内存凭据来实现此目的。...PowerShell Empire PowerShell Empire是后开发或横向移动工具一个例子。它旨在允许攻击者(或渗透测试人员)在获得初始访问权限后在网络中移动。...PowerShell Empire还可用于生成恶意文档和可执行文件,以便利用社交工程访问网络。PowerShell Empire在敌对国家行为者和有组织犯罪分子中越来越受欢迎。...使用这些功能还可以创建Windows注册表项,以确保HTran保持对受害者网络持久访问。 这些工具本身常常并非恶意,可由测试人员合法用于漏洞查找,但也可被恶意用于入侵网络、执行命令并窃取数据。

1.5K20

Avos Locker 远程访问盒子,甚至在安全模式下运行

在这种情况下,有一个事件日志条目显示正在执行 base64 编码 PowerShell 脚本,结果输出到名为execute.bat文件,然后运行该文件,最后将其删除。...这些编排脚本修改或删除了注册表项,这些注册表项有效地破坏了属于特定端点安全工具服务或进程,包括来自卡巴斯基、Carbon Black、趋势科技、赛门铁克、Bitdefender 和其他公司内置 Windows...攻击者还会禁用某些网络使用某些注册表项,以便在登录时显示“法律通知”。禁用这些功能会降低自动登录失败可能性,因为等待人们单击它对话框会阻止该过程。...从目标网络恢复 Avos Locker 批处理脚本 感染过程倒数第二步是在注册创建一个“RunOnce”键,该键可以无文件地执行勒索软件负载,攻击者将其放置在域控制器上。...我们一直在改进这些检测以减少误报,因为有许多完全合法工具和软件使用这些注册表项进行正常操作。

1.3K30
领券