粘滞键猎人

这是一个用于测试粘滞键和 utilman 后门的 POC bash 脚本。该脚本将连接到 RDP 服务器，发送粘滞键和 utilman 触发命令，并对结果进行截图。

此脚本是为了证明我关于以黑盒方式检测这些后门的理论而编写的，自撰写博客文章 追踪粘滞键后门 以来未再更新。然而，@DennisMald 和 @notmedic 进一步推进了这项研究，并在他们的 DEF CON 24 演讲 粘滞键通往王国之路 中发布了 粘滞键杀手 工具。请查看他们的工具，因为它在许多方面优于这个 POC 脚本。

它是如何工作的？

1. 使用 rdesktop 连接到 RDP
2. 使用 xdotool 发送 5 次 Shift 键，以触发 sethc.exe 后门
3. 使用 xdotool 发送 Windows+u 键，以触发 utilman.exe 后门
4. 截取屏幕截图
5. 终止 RDP 连接

先决条件

1. 运行 X 服务器的 Linux 主机
2. 以下软件包：xdotool imagemagick rdesktop bc 3. 在 Debian/Ubuntu/Kali 上安装：apt-get install xdotool imagemagick rdesktop bc
3. 在此过程中屏幕不能被锁定，否则所有截图都会是黑色的

使用方法

扫描单个主机：./stickyKeysHunter.sh 192.168.1.10

扫描多个主机：for i in $(cat list.txt); do ./stickyKeysHunter.sh "${i}"; done

待办事项

1. 使用 OCR 或图像处理自动分析截图以识别后门。
2. 加速/多线程化该工具。