亚洲国产精品无码久久久蜜芽,东京热免费视频精品

此外，如果編譯惡意可執(zhí)行文件并通過(guò)運(yùn)行鍵執(zhí)行的話，只需用到很少的字符，卻能達(dá)到最大的效果。因此，盡管與其他系統(tǒng)防御機(jī)制相比，字符限制是獨(dú)特的，但其作用是微不足道的。
特殊字符的行為運(yùn)行鍵的另一個(gè)特性是，特殊字符可以改變被調(diào)度命令的行為，尤其是感嘆號(hào)（?。┖托翘?hào)/通配符（*）。在默認(rèn)情況下，運(yùn)行鍵在執(zhí)行后會(huì)自我刪除——無(wú)論任務(wù)的執(zhí)行是否成功。這兩個(gè)特殊字符可以用來(lái)改變這一行為。
當(dāng)您將來(lái)處理事件響應(yīng)時(shí)，如果看到一個(gè)感嘆號(hào)，說(shuō)明很可能遇到了一個(gè)運(yùn)行鍵：它將持續(xù)存在，直到運(yùn)行完指定的命令。如果由于某種原因，這個(gè)邪惡的命令沒(méi)有運(yùn)行，感嘆號(hào)能夠確保它不會(huì)刪除自己，直到它運(yùn)行成功為止。

我們可以通過(guò)在安全模式下引導(dǎo)計(jì)算機(jī)來(lái)消除運(yùn)行鍵的前綴感嘆號(hào) 。為了確保無(wú)論啟動(dòng)模式如何都能執(zhí)行運(yùn)行鍵，攻擊者可以利用星號(hào)/通配符強(qiáng)制命令運(yùn)行。

默認(rèn)情況下，運(yùn)行鍵被配置為在運(yùn)行后自行擦除，這意味著除非您仔細(xì)檢查日志記錄，否則這些惡意活動(dòng)很可能會(huì)被忽視。
圍獵運(yùn)行鍵

這是您現(xiàn)在的表情嗎？反正這是我第一次遇到運(yùn)行鍵時(shí)的表情。說(shuō)實(shí)話，這種表情一直持續(xù)至今。
雖然運(yùn)行鍵可能看起來(lái)很復(fù)雜和晦澀，但我向你保證它們并不復(fù)雜。它們非常引用檢測(cè)和監(jiān)控，而且當(dāng)攻擊者操縱它們的值時(shí)，它們會(huì)在SIEM中顯示得非常清楚，這一點(diǎn)會(huì)在下面看到。
尋找運(yùn)行鍵有許多地方可以部署惡意的運(yùn)行鍵。我們只是要關(guān)注前四個(gè)位置，但如果你閱讀一些紅隊(duì)的文檔，就會(huì)發(fā)現(xiàn)還有更多的注冊(cè)表位置可以實(shí)現(xiàn)運(yùn)行鍵的持久性。
總之，在Windows注冊(cè)表中，只需在HKey Local Machine和Current User目錄下尋找，只需越過(guò)幾個(gè)目錄，就能找到Run和RunOnce 。
"HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"
"HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"
【建議收藏打開(kāi)注冊(cè)表命令】"HKLM:\Software\Microsoft\Windows\CurrentVersion\RunOnce"
"HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce"
目錄在這里很重要，因?yàn)檫\(yùn)行鍵的行為取決于它所在的注冊(cè)表位置：
如果被寫(xiě)入到HKLM:\的話，這意味著這是作為一個(gè)高權(quán)限用戶（很可能是管理員）或SYSTEM寫(xiě)入的。
寫(xiě)在這里的運(yùn)行鍵可以在機(jī)器啟動(dòng)時(shí)執(zhí)行。
如果被寫(xiě)入到HKCU:\中的話，這意味著這只是作為一個(gè)普通用戶寫(xiě)入的。
寫(xiě)在這里的運(yùn)行鍵只有在用戶登錄時(shí)才會(huì)執(zhí)行。
如果被寫(xiě)入到\RunOnce的話，它將在執(zhí)行后被刪除。
如果被寫(xiě)入到\Run的話，它在執(zhí)行后并不會(huì)被刪除。
這些都會(huì)因?yàn)槲覀円呀?jīng)討論過(guò)的特殊字符行為而變得愈加復(fù)雜。
運(yùn)行鍵在現(xiàn)實(shí)生活中是什么樣子的？在現(xiàn)實(shí)生活中，我們必須從注冊(cè)表過(guò)濾掉一些噪音后，才能看到運(yùn)行鍵的內(nèi)容。下面我們舉例說(shuō)明，第一個(gè)例子是沒(méi)有經(jīng)過(guò)PowerShell的過(guò)濾，第二個(gè)例子則通過(guò)PowerShell進(jìn)行了相應(yīng)的過(guò)濾。
看看這一團(tuán)糟。這到底是什么？我們根本就不需要紅框中的東西，那些只是噪音。事后看，我們知道這里表示“HKLM”驅(qū)動(dòng)器和“Run”ChildName，但是，乍一看，的確是一言難盡……