https://linuxiexiu.github.io/docs/%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8/%E6%8C%81%E4%B9%85%E5%8C%96/%E8%AE%A1%E5%88%92%E4%BB%BB%E5%8A%A1%E6%8C%81%E4%B9%85%E5%8C%96/Recent content in 计划任务持久化 on Linux邪修Hugozh© 2024 Linux邪修https://linuxiexiu.github.io/docs/%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8/%E6%8C%81%E4%B9%85%E5%8C%96/%E8%AE%A1%E5%88%92%E4%BB%BB%E5%8A%A1%E6%8C%81%E4%B9%85%E5%8C%96/%E8%AE%A1%E5%88%92%E4%BB%BB%E5%8A%A1%E6%8C%81%E4%B9%85%E5%8C%96%E5%9F%BA%E7%A1%80%E7%9F%A5%E8%AF%86/Mon, 01 Jan 0001 00:00:00 +0000https://linuxiexiu.github.io/docs/%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8/%E6%8C%81%E4%B9%85%E5%8C%96/%E8%AE%A1%E5%88%92%E4%BB%BB%E5%8A%A1%E6%8C%81%E4%B9%85%E5%8C%96/%E8%AE%A1%E5%88%92%E4%BB%BB%E5%8A%A1%E6%8C%81%E4%B9%85%E5%8C%96%E5%9F%BA%E7%A1%80%E7%9F%A5%E8%AF%86/<h2 id="技术介绍">技术介绍<a class="anchor" href="#%e6%8a%80%e6%9c%af%e4%bb%8b%e7%bb%8d">#</a></h2> <p>计划任务持久化是一种利用系统计划任务进行持久化攻击的技术。攻击者通过创建或修改计划任务，使系统在特定时间或事件触发时自动执行恶意代码，从而实现持久化访问。本教程将详细介绍计划任务持久化的基础知识、核心概念和技术方法，帮助安全人员理解和防御计划任务持久化攻击。</p> <h3 id="计划任务持久化核心概念">计划任务持久化核心概念<a class="anchor" href="#%e8%ae%a1%e5%88%92%e4%bb%bb%e5%8a%a1%e6%8c%81%e4%b9%85%e5%8c%96%e6%a0%b8%e5%bf%83%e6%a6%82%e5%bf%b5">#</a></h3> <ul> <li><strong>计划任务（Scheduled Task）</strong>：系统定时执行的任务</li> <li><strong>计划任务持久化（Scheduled Task Persistence）</strong>：利用计划任务进行持久化攻击的技术</li> <li><strong>Windows计划任务（Windows Scheduled Task）</strong>：Windows系统中的计划任务</li> <li><strong>Linux计划任务（Linux Scheduled Task）</strong>：Linux系统中的计划任务</li> <li><strong>cron任务（cron Job）</strong>：Linux系统中的定时任务</li> <li><strong>任务计划程序（Task Scheduler）</strong>：Windows任务计划程序</li> <li><strong>任务触发器（Task Trigger）</strong>：任务的触发条件</li> <li><strong>任务动作（Task Action）</strong>：任务执行的动作</li> <li><strong>任务权限（Task Permission）</strong>：任务的权限</li> <li><strong>任务日志（Task Log）</strong>：任务的日志</li> <li><strong>任务监控（Task Monitoring）</strong>：监控任务活动</li> <li><strong>持久化（Persistence）</strong>：在系统中保持长期访问的技术</li> </ul> <h3 id="计划任务持久化的特点">计划任务持久化的特点<a class="anchor" href="#%e8%ae%a1%e5%88%92%e4%bb%bb%e5%8a%a1%e6%8c%81%e4%b9%85%e5%8c%96%e7%9a%84%e7%89%b9%e7%82%b9">#</a></h3> <ul> <li><strong>隐蔽性</strong>：计划任务持久化攻击隐蔽性强</li> <li><strong>持久性</strong>：计划任务持久化可以实现持久化访问</li> <li><strong>灵活性</strong>：计划任务持久化技术灵活多样</li> <li><strong>依赖性</strong>：计划任务持久化依赖系统计划任务</li> <li><strong>检测难度</strong>：计划任务持久化检测难度较大</li> <li><strong>影响范围</strong>：计划任务持久化影响范围广</li> </ul> <h3 id="计划任务持久化的重要性">计划任务持久化的重要性<a class="anchor" href="#%e8%ae%a1%e5%88%92%e4%bb%bb%e5%8a%a1%e6%8c%81%e4%b9%85%e5%8c%96%e7%9a%84%e9%87%8d%e8%a6%81%e6%80%a7">#</a></h3> <ul> <li><strong>攻击检测</strong>：检测计划任务持久化攻击</li> <li><strong>系统加固</strong>：加固系统防止计划任务持久化</li> <li><strong>安全防护</strong>：防护计划任务持久化攻击</li> <li><strong>合规性</strong>：满足合规性要求</li> <li><strong>风险降低</strong>：降低安全风险</li> <li><strong>业务保护</strong>：保护业务连续性</li> </ul> <h2 id="技术体系">技术体系<a class="anchor" href="#%e6%8a%80%e6%9c%af%e4%bd%93%e7%b3%bb">#</a></h2> <p>计划任务持久化技术体系主要包括以下几个方面：</p> <h3 id="计划任务持久化原理">计划任务持久化原理<a class="anchor" href="#%e8%ae%a1%e5%88%92%e4%bb%bb%e5%8a%a1%e6%8c%81%e4%b9%85%e5%8c%96%e5%8e%9f%e7%90%86">#</a></h3> <ul> <li><strong>计划任务架构</strong>：计划任务的架构和组件</li> <li><strong>计划任务生命周期</strong>：计划任务的生命周期</li> <li><strong>计划任务触发机制</strong>：计划任务的触发机制</li> <li><strong>计划任务执行机制</strong>：计划任务的执行机制</li> <li><strong>计划任务权限</strong>：计划任务的权限</li> </ul> <h3 id="计划任务持久化技术">计划任务持久化技术<a class="anchor" href="#%e8%ae%a1%e5%88%92%e4%bb%bb%e5%8a%a1%e6%8c%81%e4%b9%85%e5%8c%96%e6%8a%80%e6%9c%af">#</a></h3> <ul> <li><strong>Windows计划任务持久化</strong>：通过Windows计划任务实现持久化</li> <li><strong>Linux计划任务持久化</strong>：通过Linux计划任务实现持久化</li> <li><strong>cron任务持久化</strong>：通过cron任务实现持久化</li> <li><strong>任务触发器持久化</strong>：通过任务触发器实现持久化</li> <li><strong>任务劫持持久化</strong>：通过任务劫持实现持久化</li> </ul> <h3 id="计划任务持久化防御">计划任务持久化防御<a class="anchor" href="#%e8%ae%a1%e5%88%92%e4%bb%bb%e5%8a%a1%e6%8c%81%e4%b9%85%e5%8c%96%e9%98%b2%e5%be%a1">#</a></h3> <ul> <li><strong>计划任务监控</strong>：监控计划任务活动</li> <li><strong>计划任务管理</strong>：管理系统计划任务</li> <li><strong>计划任务白名单</strong>：使用计划任务白名单</li> <li><strong>计划任务黑名单</strong>：使用计划任务黑名单</li> <li><strong>计划任务权限管理</strong>：管理计划任务权限</li> </ul> <h2 id="工具使用">工具使用<a class="anchor" href="#%e5%b7%a5%e5%85%b7%e4%bd%bf%e7%94%a8">#</a></h2> <h3 id="计划任务持久化检测工具">计划任务持久化检测工具<a class="anchor" href="#%e8%ae%a1%e5%88%92%e4%bb%bb%e5%8a%a1%e6%8c%81%e4%b9%85%e5%8c%96%e6%a3%80%e6%b5%8b%e5%b7%a5%e5%85%b7">#</a></h3> <ol> <li> <p><strong>Windows任务计划程序</strong>：</p> <ul> <li><strong>功能</strong>：Windows任务计划程序</li> <li><strong>用途</strong>：管理Windows计划任务</li> <li><strong>使用方法</strong>： <div class="highlight"><pre tabindex="0" style="color:#e2e4e5;background-color:#282a36;-moz-tab-size:4;-o-tab-size:4;tab-size:4;-webkit-text-size-adjust:none;"><code class="language-powershell" data-lang="powershell"><span style="display:flex;"><span><span style="color:#78787e"># 查看所有任务</span> </span></span><span style="display:flex;"><span><span style="color:#ff5c57">Get-ScheduledTask</span> </span></span><span style="display:flex;"><span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 查看任务详情</span> </span></span><span style="display:flex;"><span><span style="color:#ff5c57">Get-ScheduledTask</span> -TaskName <span style="color:#5af78e">&#34;TaskName&#34;</span> </span></span><span style="display:flex;"><span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 查看任务历史</span> </span></span><span style="display:flex;"><span><span style="color:#ff5c57">Get-ScheduledTaskInfo</span> -TaskName <span style="color:#5af78e">&#34;TaskName&#34;</span> </span></span><span style="display:flex;"><span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 查看任务触发器</span> </span></span><span style="display:flex;"><span><span style="color:#ff5c57">Get-ScheduledTask</span> -TaskName <span style="color:#5af78e">&#34;TaskName&#34;</span> | <span style="color:#ff5c57">Select-Object</span> Triggers</span></span></code></pre></div></li> </ul> </li> <li> <p><strong>Linux cron任务管理</strong>：</p>https://linuxiexiu.github.io/docs/%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8/%E6%8C%81%E4%B9%85%E5%8C%96/%E8%AE%A1%E5%88%92%E4%BB%BB%E5%8A%A1%E6%8C%81%E4%B9%85%E5%8C%96/%E8%AE%A1%E5%88%92%E4%BB%BB%E5%8A%A1%E6%8C%81%E4%B9%85%E5%8C%96%E6%8A%80%E6%9C%AF%E8%AF%A6%E8%A7%A3/Mon, 01 Jan 0001 00:00:00 +0000https://linuxiexiu.github.io/docs/%E7%BD%91%E7%BB%9C%E5%AE%89%E5%85%A8/%E6%8C%81%E4%B9%85%E5%8C%96/%E8%AE%A1%E5%88%92%E4%BB%BB%E5%8A%A1%E6%8C%81%E4%B9%85%E5%8C%96/%E8%AE%A1%E5%88%92%E4%BB%BB%E5%8A%A1%E6%8C%81%E4%B9%85%E5%8C%96%E6%8A%80%E6%9C%AF%E8%AF%A6%E8%A7%A3/<h1 id="计划任务持久化技术详解">计划任务持久化技术详解<a class="anchor" href="#%e8%ae%a1%e5%88%92%e4%bb%bb%e5%8a%a1%e6%8c%81%e4%b9%85%e5%8c%96%e6%8a%80%e6%9c%af%e8%af%a6%e8%a7%a3">#</a></h1> <h2 id="技术介绍">技术介绍<a class="anchor" href="#%e6%8a%80%e6%9c%af%e4%bb%8b%e7%bb%8d">#</a></h2> <p>计划任务持久化是一种常见的系统持久化技术，攻击者通过创建或修改计划任务，实现恶意代码的自动执行和持久化。这种技术利用了操作系统的计划任务功能，具有隐蔽性强、可靠性高和难以检测等特点。本教程将详细介绍计划任务持久化的核心概念、技术方法、防御措施和案例分析，帮助安全人员理解和防御这种持久化攻击。</p> <h3 id="计划任务持久化核心概念">计划任务持久化核心概念<a class="anchor" href="#%e8%ae%a1%e5%88%92%e4%bb%bb%e5%8a%a1%e6%8c%81%e4%b9%85%e5%8c%96%e6%a0%b8%e5%bf%83%e6%a6%82%e5%bf%b5">#</a></h3> <ul> <li><strong>计划任务</strong>：在指定时间或条件下自动执行的任务</li> <li><strong>持久化</strong>：使恶意代码在系统重启后仍然能够执行的技术</li> <li><strong>任务调度器</strong>：操作系统中管理计划任务的组件</li> <li><strong>触发条件</strong>：计划任务执行的条件，如时间、事件等</li> <li><strong>执行操作</strong>：计划任务执行的操作，如运行程序、脚本等</li> <li><strong>权限</strong>：计划任务执行时使用的账户权限</li> <li><strong>自启动</strong>：系统启动时自动执行的计划任务</li> <li><strong>权限提升</strong>：通过计划任务获取更高的系统权限</li> <li><strong>横向移动</strong>：通过计划任务在网络中从一个系统移动到另一个系统</li> <li><strong>防御规避</strong>：通过各种技术，逃避安全软件的检测</li> </ul> <h3 id="计划任务持久化技术体系">计划任务持久化技术体系<a class="anchor" href="#%e8%ae%a1%e5%88%92%e4%bb%bb%e5%8a%a1%e6%8c%81%e4%b9%85%e5%8c%96%e6%8a%80%e6%9c%af%e4%bd%93%e7%b3%bb">#</a></h3> <ul> <li><strong>时间触发持久化</strong>：通过设置时间触发条件，实现定时执行</li> <li><strong>事件触发持久化</strong>：通过设置事件触发条件，实现事件响应执行</li> <li><strong>系统启动持久化</strong>：通过设置系统启动触发条件，实现自启动</li> <li><strong>用户登录持久化</strong>：通过设置用户登录触发条件，实现用户登录时执行</li> <li><strong>任务修改持久化</strong>：通过修改现有计划任务，实现持久化</li> <li><strong>隐藏任务持久化</strong>：通过隐藏计划任务，逃避检测</li> </ul> <h3 id="计划任务持久化防御技术">计划任务持久化防御技术<a class="anchor" href="#%e8%ae%a1%e5%88%92%e4%bb%bb%e5%8a%a1%e6%8c%81%e4%b9%85%e5%8c%96%e9%98%b2%e5%be%a1%e6%8a%80%e6%9c%af">#</a></h3> <ul> <li><strong>任务监控</strong>：监控计划任务的创建和修改</li> <li><strong>任务权限管理</strong>：严格管理计划任务的执行权限</li> <li><strong>任务审计</strong>：定期审计计划任务，识别可疑任务</li> <li><strong>系统更新</strong>：及时更新操作系统，修复已知漏洞</li> <li><strong>安全软件</strong>：使用专业的安全软件，检测和清除恶意计划任务</li> <li><strong>用户教育</strong>：提高用户的安全意识，避免社会工程攻击</li> </ul> <h2 id="入门级使用">入门级使用<a class="anchor" href="#%e5%85%a5%e9%97%a8%e7%ba%a7%e4%bd%bf%e7%94%a8">#</a></h2> <h3 id="计划任务基础">计划任务基础<a class="anchor" href="#%e8%ae%a1%e5%88%92%e4%bb%bb%e5%8a%a1%e5%9f%ba%e7%a1%80">#</a></h3> <p>了解计划任务的基本概念和操作：</p> <div class="highlight"><pre tabindex="0" style="color:#e2e4e5;background-color:#282a36;-moz-tab-size:4;-o-tab-size:4;tab-size:4;-webkit-text-size-adjust:none;"><code class="language-bash" data-lang="bash"><span style="display:flex;"><span><span style="color:#78787e"># 1. Windows计划任务</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 打开任务计划程序</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 运行 taskschd.msc</span> </span></span><span style="display:flex;"><span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 使用schtasks命令管理计划任务</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 查看所有计划任务</span> </span></span><span style="display:flex;"><span>schtasks /query </span></span><span style="display:flex;"><span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 创建计划任务</span> </span></span><span style="display:flex;"><span>schtasks /create /tn <span style="color:#5af78e">&#34;MaliciousTask&#34;</span> /tr <span style="color:#5af78e">&#34;C:\path\to\malicious.exe&#34;</span> /sc onstart /ru SYSTEM </span></span><span style="display:flex;"><span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 删除计划任务</span> </span></span><span style="display:flex;"><span>schtasks /delete /tn <span style="color:#5af78e">&#34;MaliciousTask&#34;</span> /f </span></span><span style="display:flex;"><span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 2. Linux计划任务</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 使用crontab管理计划任务</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 查看当前用户的计划任务</span> </span></span><span style="display:flex;"><span>crontab -l </span></span><span style="display:flex;"><span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 编辑当前用户的计划任务</span> </span></span><span style="display:flex;"><span>crontab -e </span></span><span style="display:flex;"><span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 删除当前用户的计划任务</span> </span></span><span style="display:flex;"><span>crontab -r </span></span><span style="display:flex;"><span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 系统级计划任务</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 查看系统级计划任务</span> </span></span><span style="display:flex;"><span>ls /etc/cron* </span></span><span style="display:flex;"><span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 3. 计划任务安全风险</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 任务被恶意创建</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 任务被恶意修改</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 任务权限配置错误</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 任务执行恶意代码</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 任务被用于权限提升</span> </span></span><span style="display:flex;"><span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 4. 基础安全实践</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 定期检查计划任务：</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># Windows</span> </span></span><span style="display:flex;"><span>schtasks /query </span></span><span style="display:flex;"><span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># Linux</span> </span></span><span style="display:flex;"><span>crontab -l </span></span><span style="display:flex;"><span>ls /etc/cron* </span></span><span style="display:flex;"><span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 5. 基础安全实践</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 最小权限：以最小必要权限运行计划任务</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 定期审计：定期检查计划任务，识别可疑任务</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 系统硬化：使用安全配置基线，加强系统安全</span> </span></span><span style="display:flex;"><span><span style="color:#78787e"># 及时更新：安装系统补丁，修复已知漏洞</span></span></span></code></pre></div><h3 id="计划任务持久化基础">计划任务持久化基础<a class="anchor" href="#%e8%ae%a1%e5%88%92%e4%bb%bb%e5%8a%a1%e6%8c%81%e4%b9%85%e5%8c%96%e5%9f%ba%e7%a1%80">#</a></h3> <p>了解计划任务持久化的基本技术：</p>