Windows内网攻防：COM文件利用与持久化机制解析

"这篇文档是关于Windows Server 2016官方教材的一部分，重点讨论了特殊COM文件的利用和Windows持久性机制。内容包括通过命令行创建特殊COM文件的方法，如利用`type`和`wmic process call create`命令，以及在磁盘根目录下创建执行文件。此外，文档还涵盖了Windows系统中的持久化技术，如Run/RunOnce注册表键，BootExecute键，以及Userinit键等，这些都是内网渗透过程中可能用到的技巧。文档还涉及了内网攻击的各种方法，如信息搜集、端口渗透、提权、域渗透等，并简述了中间人攻击的基本概念。" 本文档主要讨论了在Windows环境下进行内网渗透时的一些关键技术和方法。首先，介绍了特殊COM文件的创建，这是攻击者常用来隐藏恶意代码的方式，通过将可执行文件写入到COM文件中，可以在系统启动时自动执行。使用`type`和`wmic process call create`命令，攻击者能够将恶意程序放置在特定路径，如`\\.\C:\test\ads\COM1:`或`C:\:`，从而达到持久化的效果。 接着，文档提到了Windows系统中的持久性机制，这包括位于不同注册表位置的Run/RunOnce键，这些键值会在用户登录或系统启动时执行指定的程序。管理员级别的键位于`HKEY_LOCAL_MACHINE`，而用户级别的键位于`HKEY_CURRENT_USER`。BootExecute键允许在系统引导阶段执行程序，而Userinit键与WinLogon进程相关，可以用来控制登录脚本的执行，这些都是攻击者用来维持持久存在的重要途径。 此外，文档还概述了内网攻击的各种手段，如跨边界和端口转发，利用AppLocker规则绕过，提升用户权限（BypassUAC），获取用户哈希值，横向移动，以及域渗透。这些技术通常用于在内网环境中扩大攻击范围，控制更多系统，或者获取更高级别的访问权限。 中间人攻击（MITM）部分虽然未提供详细内容，但在内网渗透中，这种攻击方式通常用于拦截和篡改通信，以便窃取敏感信息或植入恶意软件。 总结来说，该文档为内网渗透提供了丰富的技术背景和实践指南，涵盖了从信息收集到实际攻击的多个步骤，对于理解Windows环境下的安全攻防具有很高的参考价值。