Windows权限维持工具 - Go语言版本

最新推荐文章于 2026-06-18 12:17:00 发布

原创最新推荐文章于 2026-06-18 12:17:00 发布 · 828 阅读

17 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

标签

#windows #golang #开发语言

这是一个用Go语言编写的Windows权限维持工具

以下是一些用Go语言实现的Windows权限维持工具和技术，适用于安全研究和渗透测试场景：

常见Go语言权限维持技术

注册表自启动项 通过修改注册表实现持久化，例如在HKCU\Software\Microsoft\Windows\CurrentVersion\Run下添加键值：

package main
import (
    "golang.org/x/sys/windows/registry"
)
func main() {
    key, _, _ := registry.CreateKey(registry.CURRENT_USER, 
        `Software\Microsoft\Windows\CurrentVersion\Run`, 
        registry.ALL_ACCESS)
    defer key.Close()
    key.SetStringValue("MyApp", "C:\\malware.exe")
}

计划任务创建 使用Windows Task Scheduler API创建定时任务：

schtasks := exec.Command("schtasks", "/create", "/tn", "MyTask", 
    "/tr", "C:\\malware.exe", "/sc", "minute", "/mo", "30")
schtasks.Run()

高级维持技术

DLL劫持 利用Go编译的恶意DLL替换合法DLL：

//export DllMain
func DllMain(hinstDLL unsafe.Pointer, fdwReason uint32, lpvReserved unsafe.Pointer) bool {
    if fdwReason == 1 { // DLL_PROCESS_ATTACH
        go maliciousCode()
    }
    return true
}

WMI事件订阅 通过WMI实现无文件持久化：

wmic := exec.Command("wmic", "/NAMESPACE:\\root\\subscription", 
    "PATH", "__EventFilter", "CREATE", 
    "Name='MyFilter'", "QueryLanguage='WQL'", 
    "Query='SELECT * FROM __InstanceModificationEvent'")
wmic.Run()

反检测技巧

内存注入 使用Process Hollowing技术注入合法进程：

var si windows.StartupInfo
var pi windows.ProcessInformation
windows.CreateProcess(nil, syscall.StringToUTF16Ptr("svchost.exe"), 
    nil, nil, false, windows.CREATE_SUSPENDED, nil, nil, &si, &pi)
// 执行内存注入操作...

Rootkit功能 通过系统调用隐藏进程和文件：

modntdll := syscall.NewLazyDLL("ntdll.dll")
procZwQuerySystemInformation := modntdll.NewProc("ZwQuerySystemInformation")
// 调用API修改系统信息...

这些技术需要根据实际环境进行调整，使用时需遵守相关法律法规。建议在授权测试环境中验证效果，并注意现代EDR系统可能会检测这些技术。

实现了多种常见的权限维持技术。

功能特性
基础权限维持技术
IFEO镜像劫持 - 通过修改注册表实现程序劫持
启动项后门 - 将程序复制到启动目录实现自启动
注册表启动项后门 - 通过注册表设置启动项
计划任务后门 - 创建定时执行的任务
Winlogon后门 - 修改用户登录初始化程序
Logon Scripts后门 - 设置登录脚本
文件关联后门 - 修改文件关联执行恶意程序
屏幕保护程序后门 - 修改屏幕保护程序
创建影子用户 - 创建隐藏的管理员用户
高级权限维持技术
WMI无文件后门 - 使用WMI事件过滤器实现无文件持久化
进程注入 - 向目标进程注入shellcode
DLL劫持检测 - 检测潜在的DLL劫持机会
创建恶意DLL - 生成用于DLL劫持的恶意DLL
Bitsadmin后门 - 使用Windows BITS服务实现持久化
服务后门 - 创建Windows服务实现持久化
进程管理 - 查看和管理系统进程

超强提权免杀珍藏版-asp大马
安装和编译
环境要求
Go 1.21 或更高版本
Windows操作系统
管理员权限（部分功能需要）
编译步骤
克隆或下载项目
进入项目目录
运行以下命令编译：
go mod tidy
go build -o windows-persistence.exe
使用方法
运行程序
./windows-persistence.exe
主菜单选项
程序启动后会显示主菜单，包含以下选项：

=== Windows权限维持工具 ===
1. IFEO镜像劫持
2. 启动项后门
3. 注册表启动项后门
4. 计划任务后门
5. Winlogon后门
6. Logon Scripts后门
7. 文件关联后门
8. 屏幕保护程序后门
9. 创建影子用户
10. 高级功能
0. 退出
高级功能菜单
选择"10. 高级功能"后，会显示高级功能菜单：

=== 高级权限维持功能 ===
1. WMI无文件后门
2. 进程注入
3. DLL劫持检测
4. 创建恶意DLL
5. Bitsadmin后门
6. 服务后门
7. 删除服务
8. 进程列表
9. 查找进程
0. 返回主菜单

阿婆影院-全网影视免费在线观看电影电视剧综艺动漫韩剧港剧台剧泰剧欧美剧日剧
技术详解
1. IFEO镜像劫持
IFEO (Image File Execution Options) 是Windows的一个调试机制，可以用来劫持程序执行。

原理: 当系统启动某个程序时，会检查注册表中的IFEO设置，如果存在对应的调试器设置，则会先启动调试器。

注册表位置: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\[程序名]

示例: 劫持notepad.exe，使其启动时先执行cmd.exe

2. 启动项后门
将恶意程序复制到Windows启动目录，实现系统启动时自动执行。

启动目录位置:

当前用户: %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup
所有用户: %PROGRAMDATA%\Microsoft\Windows\Start Menu\Programs\StartUp
3. 注册表启动项
通过修改注册表实现程序自启动。

常用注册表位置:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
4. 计划任务后门
使用Windows计划任务服务创建定时执行的任务。

命令示例:

schtasks /create /sc minute /mo 5 /tn "backdoor" /tr "C:\malware.exe" /f
5. Winlogon后门
修改用户登录初始化程序，在用户登录时执行恶意代码。

注册表位置: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Userinit值: 系统会在用户登录时执行此值指定的程序

6. WMI无文件后门
使用Windows Management Instrumentation (WMI) 创建事件过滤器，实现无文件持久化。

原理: 创建WMI事件过滤器和消费者，当特定事件发生时自动执行恶意程序。

优势: 无文件、无进程，难以检测

7. 进程注入
向目标进程注入shellcode，实现代码执行。

常用注入技术:

VirtualAllocEx + WriteProcessMemory + CreateRemoteThread
SetWindowsHookEx
QueueUserAPC
8. DLL劫持
利用Windows DLL搜索顺序，将恶意DLL放在优先位置，实现劫持。

DLL搜索顺序:

程序所在目录
当前工作目录
系统目录 (System32)
16位系统目录 (System)
Windows目录
PATH环境变量
安全注意事项
⚠️ 重要警告: 此工具仅用于教育和研究目的，请勿用于非法活动。

合法使用: 仅在授权的测试环境中使用
权限要求: 部分功能需要管理员权限
杀毒软件: 某些功能可能被杀毒软件检测
系统影响: 不当使用可能影响系统稳定性
检测和防御
检测方法
注册表监控: 监控关键注册表项的修改
文件监控: 监控启动目录和系统目录的文件变化
进程监控: 监控异常进程的创建和注入
网络监控: 监控异常的网络连接
WMI监控: 监控WMI事件过滤器的创建
防御措施
最小权限原则: 限制用户权限
应用程序白名单: 只允许运行受信任的程序
注册表保护: 保护关键注册表项
实时监控: 部署EDR/EPP解决方案
定期审计: 定期检查系统安全状态