Windows权限维持——计划任务

Windows *** 作系统提供了一个实用程序（schtasks.exe），使系统管理员能够在特定的日期和时间执行程序或脚本。这种行为可作为一种持久性机制被red team利用。通过计划任务执行持久性不需要管理员权限，但如果已获得提升的权限，则允许进一步 *** 作，例如在用户登录期间或在空闲状态期间执行任务。

计划任务的持久化技术可以手动实现，也可以自动实现。有效负载可以从磁盘或远程位置执行，它们可以是可执行文件、powershell脚本或scriptlet的形式

schtasks命令详情查询：

常用语法：

1、用cs生成powershell无文件后门：

2、在目标机器上创建计划任务PentestLab

3、Cs成功上线：

也可以在系统启动期间或用户会话处于非活动状态（空闲模式）时执行：

有效负载的执行也可以在特定的时间发生，并且可以具有到期日期和自删除功能

嗯哼？？？任务明明被删了，咋还一直执行

重启之后就接收不到了，emmmmm，可以作为一种隐藏手段

定时向Web某目录写入php一句话

生成可执行程序运行以后，900秒执行一次写入webshell *** 作

虽然这里并没有用到计划任务，但是谁能保证不会被发现，还是可以用到计划任务的，比如用户一登录就执行计划任务。

Window权限维持（二）：计划任务

Schtasks命令详解(计划任务DOS批处理)

某企业授权渗透报告

schtasks.exe是安排命令和程序定期运行或在指定时间内运行。从计划表中添加和删除任务，按需要启动和停止任务，显示和更改计划任务。这个最好不要删 

schtasks命令，用途广泛，使用高效，不仅能为本地计算机添加任务计划，而且还能通过某台计算机的 *** 作，运行另外一台计算机的程序。可定时、定日、定月、定周、定年等让本机或局域网电脑启动软件。

下面，是schtasks命令的常用的实例介绍，希望对您有所帮助。

schtasks命令的相关属性查询方法

查看计划任务

schtasks

schtasks /query

视图模式详细信息

schtasks /query /v

schtasks /query /v /fo list

逗号分隔列表

schtasks /query /v /fo csv

逗号分隔列表,不显示标题

schtasks /query /v /fo csv /nh

schtasks /query /v /fo /nh

schtasks /query /v /fo csv /nh

schtasks /query /s 169.254.100.225 /u administrator /p windows

INFO: There are no scheduled tasks present in the system.

schtasks命令定时运行程序的实例介绍

每24小时

schtasks /create /tn Mytask /tr notepad.exe /sc hourly /ru zly /rp windows

指定每12小时

schtasks /create /tn mytask /tr notepad.exe /sc hourly /ru zly /rp windows /mo 12

schtasks /create /tn mytask /tr write.exe /sc hourly /ru zly /rp windows /mo 23 /sd 2008/09/09 /ed 2009/09/09 /st 20:00:00

schtasks /create /tn Mytask /tr notepad.exe /sc hourly /mo 12 /st 08:00:00 /

sd 2007/07/07 /ed 2007/08/09 /ru zly /rp windows

SUCCESS: The scheduled task "Mytask" has successfully been created.

schtasks /delete /tn Mytask /f

SUCCESS: The scheduled task "Mytask" was successfully deleted.

每30天

schtasks /create /tn Mytask /tr mmc.exe /sc daily /mo 30 /sd 2007/02/28 /ed

2007/12/31 /st 20:00:00 /ru zly /rp windows

每30个周

schtasks /create /s 169.254.100.225 /u administrator /p windows /tn RemoteTe

st /tr notepad.exe /sc weekly /mo 30 /ru administrator /rp windows

SUCCESS: The scheduled task "RemoteTest" has successfully been created.

每50个周

schtasks /create /tn Mytask /tr "%systemdrive%\internet explorer\iexplore.ex

e" /sc weekly /mo 50 /sd 2007/08/09 /ed 2007/08/10 /ru zly /rp windows

任务在指定的日期和时间运行一次

schtasks /create /tn Mytask /tr notepad.exe /sc once /st 20:00:00 /sd 2007/9/09 /ru zly /rp windows

任务在每次系统启动的时候

schtasks /create /tn Mytask /tr notepad.exe /sc onstart /ru zly /rp windows

每当用户（任意用户）登录的时候

schtasks /create /tn Mytask /tr notepad.exe /sc onlogon /ru zly /rp windows

在空闲的10分钟时候运行一个屏保称序。

schtasks /create /tn Mytask /tr "%windir%\system32\logon.scr /s" /sc onidle /i 10 /ru zly /rp windows

把上面的scheduled---改变一个任务的称序和账户（administrator）

schtasks /change /tn Mytask /tr write.exe /ru administrator /rp xxxxxx

改变一个任务称序和账户（system）注意受限账户既便更改到system账户任务也无法运行，请参阅组策略-用户的权利分配。只有administrators组（默认）

schtasks /change /tn Mytask /tr write.exe /ru system

运行一个任务

schtasks /run /tn Mytask

结束一个任务

schtasks /end /tn Mytask

删除全部的任务

schtasks /delete /tn * /f

立即运行和终止远程计划任务

schtasks /run /s 169.254.100.225 /u administrator /p windows /tn remotetest

SUCCESS: Attempted to run the scheduled task "remotetest".

schtasks /end /s 169.254.100.225 /u administrator /p windows /tn remotetest

SUCCESS: The scheduled task "remotetest" has been terminated successfully.

忘了空密码默认无法运行计划任务，想空密码运行计划任务，gpedit.msc-本地策略-安全设置-使用空白密码的本地帐户只允许进行控制台登录禁用。启用禁用如果不设密码可能会带来安全隐患。

---