权限维持 | 绕过360核晶、火绒、添加Windows 服服务

现在只对常读和星标的公众号才展示大图推送，建议大家能把星落安全团队“设为星标”，否则可能就看不到了啦！

 Windows 服务与计划任务的优势对比

 Windows 服务的优势

1. 高权限运行
   ：服务可以以 LocalSystem 等系统权限运行，这使得它能够绕过用户权限限制，访问系统敏感资源，执行高权限操作。
2. 持久性
   ：服务在系统启动时自动运行，不依赖于用户登录状态。即便用户注销或系统重启，服务仍然会自动启动并保持运行。
3. 更隐蔽
   ：通过服务运行的程序通常不显示在用户的任务管理器中，这使得它比计划任务更难被察觉。

1. 使用 sc create 命令

sc 是 Windows 系统提供的一个命令行工具，主要用于与服务控制管理器进行交互。可以通过 sc create 命令创建服务。

语法：

sc create [服务名称] binPath= "[恶意程序路径]"

• [服务名称]：服务的名称。

• binPath=：服务的二进制路径，即恶意程序的路径。

示例：

sc create MyMaliciousService binPath= "C:malicious.exe"

1.1 参数说明

• type=：指定服务的类型（如 own、share 等）。

• start=：指定服务的启动方式（如 auto、demand 等）。

• binPath=：服务的可执行文件路径。

• depend=：指定服务依赖的其他服务。

• obj=：指定服务的账户（如 LocalSystem、NetworkService）。

• DisplayName=：服务显示的名称。

通过这种方式添加的服务会在系统启动时运行，可以选择设置服务的启动类型（自动启动、手动启动等）。

2. 使用 CreateService API

CreateService 是 Windows API 提供的一种方法，可以通过编程的方式创建服务。通过调用该 API，攻击者可以以更细粒度的方式控制服务的创建过程。

语法：

SC_HANDLE CreateService(  SC_HANDLE        hSCManager,  LPCTSTR          lpServiceName,  LPCTSTR          lpDisplayName,  DWORD            dwDesiredAccess,  DWORD            dwServiceType,  DWORD            dwStartType,  DWORD            dwErrorControl,  LPCTSTR          lpBinaryPathName,  LPCTSTR          lpLoadOrderGroup,  LPDWORD          lpdwTagId,  LPCTSTR          lpDependencies,  LPCTSTR          lpServiceStartName,  LPCTSTR          lpPassword);

• hSCManager：服务控制管理器句柄。

• lpServiceName：服务名称。

• lpDisplayName：服务显示名称。

• dwServiceType：服务类型。

• dwStartType：服务启动方式。

• dwErrorControl：错误控制类型。

• lpBinaryPathName：可执行文件路径。

• lpDependencies：服务依赖项。

示例：

SC_HANDLE hSCManager = OpenSCManager(NULL, NULL, SC_MANAGER_CREATE_SERVICE);SC_HANDLE hService = CreateService(    hSCManager,"MaliciousService","Malicious Service",    SERVICE_ALL_ACCESS,    SERVICE_WIN32_OWN_PROCESS,    SERVICE_AUTO_START,    SERVICE_ERROR_NORMAL,"C:\malicious.exe",NULL, NULL, NULL, NULL, NULL);

这种方法可以通过程序动态创建服务，并指定服务的各种参数（如启动类型、依赖关系、账户类型等）。

3. 修改注册表

Windows 服务的配置信息存储在注册表中。服务的注册表项通常位于 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices 下。通过直接修改注册表，攻击者可以向系统添加服务。

过程：

1. 在 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices 下创建一个新的服务键。

2. 在该键下设置服务的各项配置（如服务名称、二进制路径、启动类型等）。

示例：

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMyMaliciousService]"ImagePath"="C:\malicious.exe""Type"=dword:00000010"Start"=dword:00000002

• ImagePath：指定服务的二进制路径。

• Type：指定服务类型（例如，00000010 表示 SERVICE_WIN32_OWN_PROCESS）。

• Start：指定服务的启动类型（例如，00000002 表示自动启动）。

修改注册表的方式需要管理员权限，且在服务启动时会被加载，因此这种方式也常用于恶意持久化。

4. 使用 PowerShell

PowerShell 提供了强大的命令行和脚本编写能力，可以通过 New-Service cmdlet 来创建服务。

语法：

New-Service -Name "MaliciousService" -Binary "C:pathtomalicious.exe" -StartupType Automatic

示例：

New-Service -Name "MyMaliciousService" -Binary "C:malicious.exe" -StartupType AutomaticStart-Service "MyMaliciousService"

但是上述方式均被杀软监测的死死的，无法绕过杀毒软件添加WIndows服务，特别是开启核晶状态的360。

目前星球已满300人，价格由208元调整为218元(交个朋友啦)，400名以后涨价至268元！

关注微信公众号后台回复“入群”，即可进入星落安全交流群！