内网渗透

bypass uac的检测分析(不定期更新)

2020-04-16  本文已影响0人  挖低危的清风

近期公司内部在做bypass uac的攻击检测,我也在这里记录一下分析检测的过程。

1.eventvwr bypass_uac

eventvwr 在启动的时候会去查询该注册表中的数据\HKEY_CURRENT_USER\Software\Classes\mscfile\shell\open\command
如果这个注册表存在,则按照其中设定的值进行调用相关程序。

如果不存在则会去寻找\HKEY_CLASSES_ROOT\mscfile\shell\open\command,按照其中的值去启动。


测试一下,我们去创建一下这个注册表\HKEY_CURRENT_USER\Software\Classes\mscfile\shell\open\command

总结

要监控eventvwr bypass 只需监控\HKEY_CURRENT_USER\Software\Classes\mscfile\shell\open\command 这个注册表即可。

上一篇 下一篇

猜你喜欢

热点阅读