建议收藏打开注册表命令( 三 ) _云知道

下面，让我们利用PowerShell过滤掉这些噪音：
Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" | select -property * -exclude PS* | fl

看看这有多优雅。想象一下，如果能够通过类似方式让数以千计的端点以这种清晰、无噪音的方式返回信息，这简直就是蓝队的梦想。这种用于过滤的PowerShell非常适合在企业范围内运行，以识别网络中标准构建之外的异常。
如果看一下运行键，就会发现条目的名称和附带的命令。不过，运行键的合法内容可能有所不同，我们需要了解企业中什么东西是正常的，因为这样才能知道哪些东西是不正常的。
在进行安全审计时，有时需要过滤掉注册表运行键中合法的启动项目。这其实很容易做到。为此，只需使用与上述相同的PowerShell，不过这次需要加上-exclude
标志，然后是需要排除的PS*，后面加上一个逗号，以及其他不想看到的运行键名称。
Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" | select -property * -exclude PS*, Vmware*,bginfo* | fl

恶意的运行键下面，让我们模仿一下攻击者的一些行为。我们将在一个运行键中插入一些恶意的东西，同时，我将向您展示：
第一，如何通过循环方式自动找到它。
第二，如何在不破坏其他合法运行键的情况下将其从机器上清除。
假设我们已经入侵了一台机器，并希望在这台机器上面维持相应的权限。为此，我们编译了evilcommand.exe，它能够绕过人类已知的所有反病毒软件，并向我们一个反向shell 。我们可以命令其中一个运行键来执行我们的恶意程序：
Set-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\RunOnce" -Name '!Delete After Running' -Value "evilcommand.exe"
如果我们能够在单行Powershell命令的末尾加上-whatif，它就不会真正运行你的命令。相反，它将向您显示如果您运行它会产生什么效果。