EasyPersistent,是一个用于windows系统上权限维持的Cobalt Strike CNA 脚本。
    脚本整合了一些常用的权限维持方法，使用反射DLL模块可使用API对系统服务、计划任务等常见权限维持方法进行可视化操作（强烈建议使用白名单进程进行操作）。

GUI界面参数根据理解填写，可能部分位置有Bug，欢迎提交issues.

主要是attrib、takeown、icacls、mklink几个命令的使用。

通过Reg命令执行操作，支持对以下位置进行操作：Run, RunOnce, RunOnceEx,Logon Scripts,Winlogon Shell, Winlogon Userinit

添加方法带有/f选项，可用于更新键值：

查询位置分为单个键查询和一键查询所有(选项里有的)启动项位置，查询所有比较暴力：

其他Tips:
针对x86和x64注册表位置可使用下拉选项进行选择;
使用时请注意HKLM和HKCU位置，x86和x64的不同;
HKLM位置可能需要管理员权限，SYSTEM权限在写入HKCU位置会出现问题。

脚本中提供了两个服务程序TransitEXE.exe和uinit.exe，其中uinit.exe为一个启动后会返回服务失败的程序，用于错误回调执行，TransitEXE.exe服务程序实现代码参考[CreateService](https://github.com/uknowsec/CreateService)，主要进行了以下修改：
1. 注释RC4加密部分
2. 修改资源ID默认为100
3. 增加互斥体检测退出服务功能
4. 增加进程守护功能
在ReflectiveDll的实现中，根据微软文档主要进行了以下功能开发：
1. 设置服务描述，设置多种启动类型添加，设置SDDL安全描述符

添加服务时，为了方便测试，脚本对一些参数进行字符随机化，并对各个流程进行了调试信息输出：

添加服务后的显示：

在这里，只需要选择一个二进制文件上传，点击添加即可，之后脚本会根据需要上传某个服务程序。如果是TransitEXE，反射DLL会将执行命令写入到服务程序资源信息中，随后启动服务，服务程序落地后启动后会提取出自身资源信息中的命令行，使用CreateProcess第二个参数来执行。

在命令行中的触发器使用了网络触发器：

sc triggerinfo ServiceName start/networkon

API中使用的是硬件接口触发:

在API中通过ConvertStringSecurityDescriptorToSecurityDescriptor和SetServiceObjectSecurity设置服务的安全描述符，如果进行一些限制设置需要SYSTEM权限(注意如果在administrator权限下设置了SDDL限制，那么会导致OpenService Failed的情况)：

启动服务失败后会有回调命令执行:

- 两个服务程序可以写成一个，只是uinit.exe是先写的；
- 其他设置SDDL、修改服务、查询、删除部分功能没有完全强大，只能说是够用。
- 脚本中默认的目录C:\360\不存在，会导致上传文件失败([-] could not upload file: 3)，可以修改默认目录，net helpmsg查询详细错误情况。

使用CS自带命令bnet()

集成了CMD命令、API、参数欺骗。API添加和查询用户：

这里的功能最初是为了激活Guest的，后面增加了不同组的添加、移除、账户激活禁用，主要就是使用api进行一些操作，然后我源码找不到了...:

主要就是两个位置:

程序可以写入到目录中进行自启动，但是不能设置隐藏属性。(一次测试不知道怎么搞的这个启动目录被搞成了其他位置C:\，启动后会弹出该目录下的文件夹，杀软会毫无反应。记录到了这个现象，还没进行深入研究。)

在选项中可以设置远程文件名和执行方式，为直接上传和API重启写入:

API重启写入利用函数MoveFile设置在重启后写入，可以绕过一些AV程序对启动目录的监控。

计划任务的操作可由SCHTASKS命令行和API来完成，由于命令行实现功能和API有差距(命令行无法设置描述和创建者)所以分开写了两个操作界面：

 - 添加任务时未对文件是否存在进行判断,未增加文件上传选项；
 - 命令行模式中的描述可以删除。

 - API中使用\Everyone身份，如果没有已登录用户，可能导致启动失败。

利用msdtc服务加载oci.dll和Explorer加载linkinfo.dll原理进行DLL劫持，系统启动后可进行权限维持，通过禁用系统重定向不同位数下的system32目录进行了操作，方便简单：

注意：
在64位系统中生成的DLL要是64位的才能执行，在CobaltStrike4.3中要勾选x64 payload，其他版本中64位DLL+ x86 Payload上线的是x86的rundll32.exe,x64payload上线的是x64的msdtc.exe。

使用64位rundll32程序加载位于C:\windows\system32\下的32位dll,出错:

那么使用C:\Windows\SysWOW64\rundll32.exe下的32位DLL加载C:\windows\system32\32.dll能成功吗？

可以看到也是不行的，猜测因为windows的重定向机制，使用32位程序时，系统会去找32位的system目录(SysWOW64)，把C:\windows\system32\32.dll复制到SysWOW64那就可以加载了：

可以看到果然如此！

会在用户登录后加载C:\windows\linkinfo.dll，同样需要与系统位数对应的DLL。

简单使用bitsadmin命令进行操作，据说仅适用于Windows7、8、Server 2008和Server 2012，还咩做实验。

使用powershell脚本来进行WMI事件订阅设置。
预置了6种触发方式：移动设备、用户登录、进程启动、时间间隔、某个时间、重启：