Windows命令行下载远程payload及执行任意代码的几种方法
发布网友
发布时间：2024-10-01 12:54
共1个回答
热心网友
时间：2024-11-13 22:03
Windows命令行中，除了powershell，还有其他方式实现远程payload下载和执行任意代码。以下是一些满足特定条件的命令行工具和方法：
利用内置二进制文件执行：通过滥用Microsoft标准文件，如IE缓存和WebDAV客户端缓存，来下载payload。这种方式要求工具支持HTTP URL参数传递、UNC路径处理，以及执行下载的内联脚本。
Powershell：以powershell.exe执行payload，它通常不直接写入硬盘，但可以使用编码技巧绕过安全检测。通过WebDAV服务器访问时，payload会保存在WebDAV客户端本地缓存。
cmd.exe与批处理文件：可以使用批处理文件嵌入payload，但同样会写入WebDAV客户端本地缓存。
Cscript/Wscript：通过这两个脚本工具下载payload，写入位置同样是WebDAV客户端本地缓存。
Mshta：支持执行内联脚本，可用mshta.exe接收URL或HTA文件，写入IE本地缓存。
Rundll32：可通过UNC路径执行DLL或内联JScript，写入WebDAV客户端本地缓存。
Regasm/Regsvc：利用特定DLL和WebDAV接口，写入WebDAV客户端本地缓存。
Regsvr32：有多种实现方式，写入位置取决于使用方法，可能是IE本地缓存或WebDAV客户端。
Msbuild：通过msbuild.exe间接执行payload，写入WebDAV客户端本地缓存。
组合技巧：可以结合不同工具下载和执行payload，如certutil.exe或InstallUtil.exe。
payload源码示例：使用.sct脚本、.hta文件、MSBuild内联任务或DLL，可以从指定地址获取实例。
值得注意的是，如bitsadmin工具因不支持代理而未被提及。这些方法在满足条件的同时，也需考虑EDR监控和安全策略。更多详细内容可通过原文链接获取。
