神兵利器 | 一款创建隐藏注册表项的Tools（附下载）
2022-11-28 20:47:44 Author: EchoSec(查看原文) 阅读量:27 收藏

声明：该公众号分享的安全工具和项目均来源于网络，仅供安全研究与学习之用，如用于其他用途，由使用者承担全部法律及连带责任，与工具作者和本公众号无关。

0x01 工具介绍

一个很好的后门持久性技巧，用来混淆DFIR调查。使用NtSetValueKey本机API创建隐藏（以空结尾）注册表项。这是通过在UNICODE_STRING键值名称前面添加一个空字节来实现的。

有关此技术的更多信息，请参阅以下白皮书：
https://github.com/ewhitehats/InvisiblePersistence/blob/master/InvisibleRegValues_Whitepaper.pdf
该工具使用以下注册表路径创建隐藏的运行项：如果是用户，则为HKCU，否则为HKLM
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\runHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\run

0x02 使用方法

若要创建隐藏的注册表（运行）项，请执行以下操作：
SharpHide.exe action=create keyvalue="C:\Windows\Temp\Bla.exe"

若要创建带有参数的隐藏注册表（运行）项，请执行以下操作：

SharpHide.exe action=create keyvalue="C:\Windows\Temp\Bla.exe" arguments="arg1 arg2"

删除隐藏的注册表（运行）项：

SharpHide.exe action=delete

该工具也适用于Cobalt Strike的execute-assembly。

创建隐藏注册表后在读取Run键时会显示一条错误消息。

文章来源：Hack分享吧

0x03 下载地址

  1. 阅读原文即可获取项目地址

  2. 点击下方名片回复"20221128"获取


文章来源: http://mp.weixin.qq.com/s?__biz=MzU3MTU3NTY2NA==&mid=2247486849&idx=1&sn=7d56bf0756f0c6018d3a9bfb5b56c9fd&chksm=fcdf519ecba8d888e4a3b67c1fc9178fedc50dbf7bd9312c5457e963351e40d4973160d8b86b#rd
如有侵权请联系:admin#unsafe.sh