病毒传播趋势图 被感染的主机会通过计划任务定时执行或直接执行PowerShell命令行，命令行下载执行PowerShell脚本。命令行的具体代码，如下图所示： ?...下载的脚本会创建计划任务运行PowerShell命令行，从而进一步在被感染的新机器上进行挖矿和病毒传播。...永恒之蓝漏洞传播 漏洞利用或是暴破成功后执行远程命令行或运行可执行文件。远程命令行或可执行文件功能基本一致，可以在被感染的新主机上创建计划任务下载执行恶意脚本。具体代码，如下图所示: ?...定义远程命令行和可执行文件 以其中一个下载执行的rdp.jsp脚本为例，这个脚本会创建计划任务执行PowerShell命令行，命令行内容与最初截获的样本命令行内容一致。...当该文件下载完成之后，脚本便会运行Invoke-ReflectivePEInjection.ps1将解压后的挖矿程序注入进PowerShell进程。相关代码如下图所示： ?
注：通过任务管理器查看CPU较高使用率和多个PowerShell.exe进程，能初步判断机器中了此木马，查看其计划任务有随机名，调用PwoerShell确定木马病毒存在。 攻击链路： ?...该病毒获取到用户名或密码时，无论是爆破还是抓取到的用户名密码，通过IPC$登陆后，对中病毒机器执行以下命令进行远程下载执行，同时设置端口转发，将来自65532端口的流量转发到1.1.1.1地址的53端口...病毒拥有远控功能，运行后将本机的CUP型号，操作系统版本，MAC地址，ip地址，域用户名，显卡信息，挖矿线程，以及计算机参数传递给终端： 该脚本新增一个计划任务，计划每天7：00运行 C:\windows...释放powershell脚本文件并执行mimikatz模块，运行mimi操作后，释放了另一个配置文件 ? mkatz.ini文件中为抓取到的用户密码hash值 ?...释放PowerShell脚本并执行，命令行参数为 ? 判断自身所在的路径，如果不是则拷贝自身到当前用户的缓存目录中再次启动： ?
在日常的系统管理和维护过程中，计划任务的设置与管理显得尤为重要。Windows PowerShell 作为一款功能强大的脚本自动化工具，为IT专业人员提供了高效、灵活的任务管理方案。...本文将深入浅出地介绍如何利用 PowerShell 在 Windows 环境下管理系统计划任务，并通过实例让读者更好地理解与应用。 1....PowerShell与计划任务管理 Windows PowerShell 是基于 .NET Framework 的命令行脚本接口，它集成了丰富的系统管理命令，使得用户能够以编程的方式管理 Windows...在 PowerShell 环境下，我们可以使用 schtasks 或 Get-ScheduledTask、New-ScheduledTask、Set-ScheduledTask 等 cmdlet 来实现计划任务的创建...例如，想要查看所有的计划任务，我们可以执行以下命令： Get-ScheduledTask 如果我们想要查询特定的计划任务，可以通过 -TaskName 参数指定任务名称，如： Get-ScheduledTask
在日常的系统维护和管理过程中，计划任务的设定与管理显示出不可忽视的重要性。它允许我们按照预定的时间或条件自动运行特定的程序或脚本，从而大大提高了系统管理的效率和准确性。...Windows PowerShell，作为一款功能强大的脚本自动化工具，为我们提供了一种高效、灵活的方式来管理 Windows 系统中的计划任务。...本文旨在深入解析如何利用 PowerShell 来优化我们的计划任务管理，同时也会探讨“作业”和“任务”这两个概念在计划任务管理中的应用和区别。 1....简介：PowerShell 与 计划任务 PowerShell 是基于 .NET Framework 的命令行脚本接口，它集成了丰富的系统管理命令，使得我们能够以编程的方式来管理 Windows 系统。...通过 PowerShell 的 Start-ScheduledTask 和 schtasks /Change 命令，我们可以轻松地主动运行或修改计划任务的属性。
有效负载可以从磁盘或远程位置执行，它们可以是可执行文件、powershell脚本或scriptlet的形式。...持久性计划任务– PowerShell SharPersist 通过计划任务在SharPersist中添加了关于持久性的多种功能。...通过检查名称和提供的参数，此功能可用于验证调度任务命令。...SharPersist –检查后门计划任务 “ Add ”参数将后门现有的计划任务，该任务将执行恶意命令，而不是执行更隐蔽的持久性选项来执行合法动作。...Empire Elevated – 持久性计划任务 PowerSploit PowerSploit的持久性模块支持各种功能，可用于向脚本或脚本块添加持久性功能。
： 需通过在注册表中进行类似账号克隆的操作，分别将如下图所示的项分别导出为item1.reg和item2.reg： 在item1.reg中编辑F参数，通过复制Administrator在注册表中的...F参数将该其覆盖后保存： 在cmd命令中执行“net user hacker /del”，然后双击item1.reg和item2.reg重新将hacker用户写入到注册表中，此时在本地安全策略中已无hacker...改变系统文件夹图标 通过更改文件夹名称，能更改文件夹图标和双击打开的动作（命令行模式仍可以正常使用）。 但通过命令行模式仍能看见其后缀。...通过设置启动与关机时要运行的脚本，执行相关命令。...SCHTASKS /parameter [arguments] 描述: 允许管理员创建、删除、查询、更改、运行和中止本地或远程系统上的计划任 务。参数列表: /Create 创建新计划任务。
用户可以通过图形用户界面（Task Scheduler GUI）、命令行工具（如schtasks）或编程接口来管理计划任务，用于在预定的时间或特定事件发生时自动执行一系列任务。...通过Windows计划任务，用户可以： 定时运行程序：在指定的日期和时间，自动运行特定的应用程序、脚本或命令行工具。...操作（Actions）： 操作类型：你可以指定任务执行时要运行的操作类型，可以是一个程序、脚本或命令行工具。...操作设置：根据操作类型，你可以指定要运行的可执行文件或脚本文件的路径，以及传递给该程序的参数。 条件（Conditions）： 开始条件：你可以设置任务只有在满足一定条件时才开始执行。...后记 通过任何方法添加计划任务时，实际上是将任务的配置信息添加到操作系统的计划任务服务中。
Windows操作系统中提供了一个实用工具schtasks.exe，系统管理可以使用该工具完成在指定日期和时间执行程序或脚本的工作。但是目前这个工具经常被黑客或者红队利用，从而实现持续性攻击。...图*-* 使用SharPersist列出的计划任务信息 与Metasploit框架功能类似，SharPersist中也具有检查目标是否易受攻击的功能，SharPersist提供了一个运行检查，这个功能可用于通过检查名称和提供的参数来验证计划任务...图*-* 使用SharPersist列出的Backdoor 计划任务列表 “Add”参数用来隐藏一个现有的计划任务，该任务将执行恶意命令，而不是执行合法的操作。...图*-* 使用SharPersist列出的Backdoor 计划任务列表 Empire Empire中包含两个可以用来实现计划任务的模块（区别在于使用时权限不同），下面给出的命令可以通过PowerShell...图*-* elevated模块 PowerSploit PowerSploit的持续性攻击模块支持一些可以向脚本或脚本块添加持续性攻击的功能。
， 我们都知道PHP是通过全局变量 $_SERVER['argv']来接收所有的命令行输入的， 和命令行里执行shell脚本一样（在shell脚本里可以通过 $0获取脚本文件名， $1 $2这些依次获取后面传递给...shell脚本的参数选项）索引0对应的是脚本文件名，接下来依次是命令行里传递给脚本的所有参数选项，所以在命令行里通过 artisan脚本执行的命令，在 artisan脚本中 $_SERVER['argv...']数组里索引0对应的永远是 artisan这个字符串，命令行里后面的参数会依次对应到 $_SERVER['argv']数组后续的元素里。...（shell脚本里其实也是一样，会通过shell函数getopts来解析各种格式的命令行参数输入），同样地Laravel使用了 Symfony\Component\Console\Output对象来抽象化命令行的标准输出...到这里通过命令行开启的程序进程到这里就结束了，跟HTTP内核一样Console内核在整个生命周期中也是负责调度，只不过Http内核最终将请求落地到了 Controller程序中而Console内核则是将命令行请求落地到了
同样的为了实现PowerShell脚本的保存、方面在别的服务器迁移，一般都是先编写脚本，然后通过脚本文件执行完成相应的运维任务。...首先打开 WindowPowerShell ISE 开发环境新建一个test.ps1，脚本内容如下：$arr1=1..10 #定义一个1~10的数组 $arr1 #打印数组一、四种执行方式介绍1、当前文件夹运行命令进入存放脚本文件的命令...命令格式：PowerShell ps1脚本文件完整路径4、通过Windows计划任务执行PowerShell脚本PowerShell 脚本默认无法执行，需要先修改 PowerShell 执行策略（ExecutionPolicy...输入上面的命令后会提示我们如何对策略进行修改，这里我们选择y，然后按下回车键。...切换到操作选项卡，新建操作设置执行脚本文件powershell添加参数 F:\桌面\test.ps1然后就可以正常运行该计划了。
脚本或命令会通过命令行进程执行。...除此之外，如果cmd.exe是通过脚本来生成的，并且父进程是 winword.exe、mshta.exe、wscript.exe或wuapp.exe的话，那么脚本的内容就值得我们去仔细检查了。...命令行为王 很多PowerShell攻击可以通过监控传递给PowerShell进程的命令行参数来进行检测。...Process_Command_Line中包含了传递给新创建进程（例如PowerShell）的命令行参数信息，我们可以基于一些常见参数（例如 –e, -Encod, -windowstyle , Bypass...而此时，我们就需要记录事件ID 4688，然后过滤并记录下任何关于PowerShell进程创建的活动以及传递给PowerShell的命令行参数，并以此来检测可疑的PowerShell攻击活动。
WMIC WMIC是Windows Management Instrumentation Command-line的简称，它是一款命令行管理工具，提供了从命令行接口到批量命令脚本执行系统管理的支持，可以说是...：如果你在命令提示符下或通过运行菜单只输入WMIC，都将进入WMIC的交互模式，每当一个命令执行完毕后，系统还会返回到WMIC提示符下。...非交互模式：非交互模式是指将WMIC指令直接作为WMIC的参数放在WMIC后面，当指令执行完毕后再返回到普通的命令提示符下，而不是进入WMIC上下文环境中。...PowerSploit中的CodeExecution目录下，该脚本主要是通过powershell调用WMIC来远程执行命令，因此本质上还是利用WMIC。...在powershell命令行环境执行如下命令，可以以非交互式的方式执行命令，但不会回显执行结果。
脚本执行后，会通过下载服务器下载下一阶段的攻击载荷，攻击者将下载服务器部署在基于 Azure 的 Windows 服务器或基于 AWS 的 EC2 实例上。...第一层 第一层去混淆由 ejv()完成，该函数将混淆数据的每个字符保存在数组中，执行算术运算进行解密。...例如： 通过HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run进行持久化 通过 schtasks.exe配置计划任务 △ 计划任务命令...这个包含 Payload 的字符串，连同一个包含注入 .NET 程序 DLL 模块的字符串，一同被传递给函数 H2 转换为二进制字节数组。...△ 去混淆注入 这个数组将会被加载注入： △ 去混淆 PowerShell 命令 脚本会尝试启动进程 aspnet_compiler.exe并注入 Payload 执行。
其中一些改进包括脚本块记录，反恶意软件脚本接口（AMSI）以及第三方安全供应商针对恶意PowerShell活动签名的开发。...持久性植入是指恶意payload，例如可执行文件（EXE），HTML应用程序（HTA），动态链接库（DLL） ，或其他形式的代码执行。持久性触发是指恶意代码的执行，例如计划任务或Windows服务。...它是一个用C#编写的命令行工具，可以反射性的加载Cobalt Strike的“execute-assembly”命令或任何其他支持反射性加载.NET程序集的框架。...计划任务后门持久性 可以将计划任务配置为一次执行多个操作，此技术将通过添加其他操作来后门后门现有的计划任务。我们需要做的第一件事就是查找一个用于后门的计划任务。...通过发布SharPersist，我们希望让人们能够了解Windows中可用的各种持久性技术，以及使用C#而不是PowerShell的方式使用这些持久性技术的能力。
1、24%:命令行解释器PowerShell 利用PowerShell和Windows Command Shell的攻击对受害者影响最大。...由于这些工具是Windows固有的，也被称为离地攻击，也就是说攻击者不需要下载专用工具，而是使用已安装的现有PowerShell就能够将恶意活动隐藏在合法进程中。...此外，由于分析正常的PowerShell 和恶意PowerShell需要一定时间，最好对于经常使用的脚本和PowerShell进程建立一个基准，帮助过滤，从而发现可疑的cmd.exe和混淆命令。...建议设置使用PowerShell的政策，并且只使用签名的脚本执行。...9、4％：系统服务 攻击者使用Windows Service Manager运行命令或安装服务。 10、4％：重命名伪装 攻击者通过重命名系统工具程序来绕过控件和检测。
前言 对于ATT&CK，我相信搞安全的师傅们都在熟悉不过了，ATT&CK把攻击者所运用的技术都以各种TTP展现出来了，如何将ATT&CK框架，更好的利用在我们的企业中，看似是一个简单的问题，实际操作却会出现许多无法意料的问题...，ATT&CK运营人员的水位怎么样，因为你的规则匹配出了计划任务，但是仅凭借计划任务我们就能判断出改终端的行为是恶意的吗？...不能这么草率吧，以及T1059.001的powershell，我们又打算如何设计我们的规则，是单纯的匹配恶意powershell文本的执行，比如powerspliot还是empire的脚本，还是根据powershell...比如执行，下载，-bypass参数来匹配恶意行为，或者是直接套用微软的powershell语言限制模式，当然，这几种模式没有优劣之分，我们红军需要的是用已知的技术解决方案满足企业的安全需求，我们防守方的优势在于攻击者对于我们安全防线水位的未知.../192.168.1.28:1456/test.txt -o test.txt这就是缩短 那什么是拼接呢，因为这个概念我最早接触于powershell绕过AMSI，分享技术的博主就提出了这个概念，但是对于其他命令行怎么绕过
并且通过计划任务调用jps.exe -v，不论什么用户级别、不论是否最高权限、不论怎么设置（绝对路径、.bat、.ps1），最终效果都是类似Administrator命令行下执行jps.exe -v，通过前面的介绍我们知道...#创建计划任务 schtasks.exe /create /tn "runps" /ru Administrator /rl highest /sc ONLOGON /tr "powershell.exe...'C:\runps.ps1'" /f 创建计划任务指定哪个用户触发计划任务，哪个用户得对相关脚本有权限 示例中是Administrator触发计划任务，如果想mssql触发计划任务，那就改成mssql...Files\Microsoft\jdk-21.0.1.12-hotspot\bin\" ResidencyProgram java.exe、jps.exe的特点就是如此，通过计划任务调用，是类似在Administrator...，如果是普通命令行下效率高，那就不要用计划任务跑业务了，因为java.exe、jps.exe在计划任务里调用相当于在Administrator命令行下执行。
交互式脚本环境 PowerShell 将交互式环境和脚本环境组合在一起，从而允许访问命令行工具和 COM 对象，同时还可利用 .NET Framework 类库 (FCL) 的强大功能(可以加载调用cmd...可以将输出对象发送给另一条命令以作为其输入(通过管道运算符"|")。因此，Windows PowerShell 为曾使用过其他 shell的人员提供了熟悉的界面，同时引入了新的、功能强大的命令行范例。...通过允许发送对象（而不是文本），它扩展了在命令之间发送数据的概念。 右命令行很容易过度到脚本 使用 Windows PowerShell，可以很方便地从以交互方式键入命令过渡到创建和运行脚本。...即使是在 PowerShell 中运行传统命令行工具，也可以使用 PowerShell 的帮助功能。PowerShell 将对参数进行处理并将结果传递给外部工具。...命令没有统一的模式，因此只能通过记住常用的每种命令和每个参数来了解这些命令行界面。 大多数命令都是为管理操作系统或应用程序的元素（如服务或进程）构建的。
删除隐藏账户 常规删除账户可以通过命令行或者图形化删除，但是对于一些隐藏账户会删除失败，可以通过D盾工具或直接去注册表删除 以 admin$ 克隆 Administrator 账户的 F 值为例，D盾检测出来后...Windows设置 => 脚本（登录/注销） 此处可以添加开机启动的程序、批处理文件和powershell脚本，开机时就会根据脚本自动运行添加到程序或任务 此处的任务是不会显示在启动或msconfig...定时任务经常是病毒、后门、权限维持等恶意行为的常见操作对象，通过添加新的定时任务，启动恶意脚本、powershell或者其他命令行语句来达到权限维持或者扩散的目的 排查计划任务开始前，需要先开启计划任务记录...它包含了任务执行时要执行的操作的详细信息，例如要运行的程序或脚本以及相关的参数。 Author：这个项表示任务的作者或创建者。它记录了任务创建时的作者信息。 Date：这个项表示任务的日期。...poweshell为windows自带的一种更深入系统内部的命令行脚本环境，可以通过相应的命令对进程进行查询及操作。
然而并没有搜到什么有用的信息，但是burp传来了好消息 账户名：admin 密码：password 登陆成功，来到主页面 2.XXE到SSH连接 找到一处功能点，一处表单提交订购单子的地方，随便传点数据...接下来再读一下windows的一些文件 注：这里只有将调用实体写在中间参数才有回显。...并且靶机开放了22号端口，daniel是否是通过ssh连接的呢，试着读取一下deniel用户的私钥 成功读取到daniel私钥 将私钥保存到本地(生成一个文件放入私钥，注意：文件权限需要改为只读)，然后使用...schtasks查看当前计划任务，但是有可能因为权限不足而看不到完整的计划任务 靶机命令行进入powershell ps一下，可以看到 wevtutil有可能正在运行 那么可以将nc弄到靶机上面去，...然后将脚本修改为执行一个反弹shell的命令。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
