<?xml version="1.0" encoding="utf-8"?>
<rss version="2.0">
  <channel>
    <title>DecoyMini 技术交流社区 (吉沃科技) - TA0003 持久化</title>
    <link>https://bbs.decoyit.com/forum-60-1.html</link>
    <description>Latest 20 threads of TA0003 持久化</description>
    <copyright>Copyright(C) DecoyMini 技术交流社区 (吉沃科技)</copyright>
    <generator>Discuz! Board by Comsenz Inc.</generator>
    <lastBuildDate>Wed, 29 Apr 2026 04:31:03 +0000</lastBuildDate>
    <ttl>60</ttl>
    <image>
      <url>https://bbs.decoyit.com/static/image/common/logo_88_31.gif</url>
      <title>DecoyMini 技术交流社区 (吉沃科技)</title>
      <link>https://bbs.decoyit.com/</link>
    </image>
    <item>
      <title>T1546.010 - AppInit DLLs</title>
      <link>https://bbs.decoyit.com/thread-114-1-1.html</link>
      <description><![CDATA[一、概念

攻击者可以通过执行加载到进程中的 AppInit DLL 触发的恶意内容来实现持久性或提升权限，在注册表项 HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Windows 或 HKEY_LOCAL_MACHINE\\Software\\Wow6432Node\\Microsoft\\Windows NT\\CurrentVer ...]]></description>
      <category>TA0003 持久化</category>
      <author>吉沃运营专员</author>
      <pubDate>Sat, 02 Apr 2022 06:37:44 +0000</pubDate>
    </item>
    <item>
      <title>T1546.009 - AppCert DLLs</title>
      <link>https://bbs.decoyit.com/thread-113-1-1.html</link>
      <description><![CDATA[一、概念

攻击者可以通过执行由加载到进程中的 AppCert DLL 触发的恶意内容来实现持久化或提升权限，在 HKEY_LOCAL_MACHINE\\System\\CurrentControlSet\\Control\\Session Manager\\ 下的 AppCertDLLs 注册表项中指定的动态链接库 (DLL) 被加载到调用普遍使用的 CreateProc ...]]></description>
      <category>TA0003 持久化</category>
      <author>吉沃运营专员</author>
      <pubDate>Wed, 30 Mar 2022 10:18:07 +0000</pubDate>
    </item>
    <item>
      <title>T1546.008 - 辅助功能</title>
      <link>https://bbs.decoyit.com/thread-111-1-1.html</link>
      <description><![CDATA[一、概念

攻击者可以通过执行由可访问性功能触发的恶意内容来实现持久化或提升特权，Windows 包含可在用户登录之前使用组合键启动的辅助功能 (例如：当用户在 Windows 登录屏幕上时)。攻击者可以修改这些程序的启动方式，以获得命令提示符或后门，而无需登录系统。

两 ...]]></description>
      <category>TA0003 持久化</category>
      <author>吉沃运营专员</author>
      <pubDate>Tue, 29 Mar 2022 06:53:43 +0000</pubDate>
    </item>
    <item>
      <title>T1546.007 - Netsh Helper DLL</title>
      <link>https://bbs.decoyit.com/thread-104-1-1.html</link>
      <description><![CDATA[一、概念

攻击者可以通过执行由 Netsh Helper DLL 触发的恶意内容来实现持久化，Netsh.exe (也称为 Netshell) 是一个命令行脚本实用程序，用于与系统的网络配置进行交互，它包含添加 Helper DLL 以扩展实用程序功能的功能，已注册 netsh.exe Helper DLL 的路径输入 Win ...]]></description>
      <category>TA0003 持久化</category>
      <author>吉沃运营专员</author>
      <pubDate>Tue, 15 Mar 2022 07:34:41 +0000</pubDate>
    </item>
    <item>
      <title>T1546.006 - LC_LOAD_DYLIB 添加</title>
      <link>https://bbs.decoyit.com/thread-103-1-1.html</link>
      <description><![CDATA[一、概念

攻击者可以通过执行受感染的二进制文件触发的恶意内容来实现持久化，Mach-O 二进制文件有一系列头文件，用于在加载二进制文件时执行某些操作。Mach-O 二进制文件中的 LC_LOAD_DYLIB 标头告诉 macOS 和 OS X 在执行期间要加载哪些动态库 (dylib)。只要对其余字 ...]]></description>
      <category>TA0003 持久化</category>
      <author>吉沃运营专员</author>
      <pubDate>Tue, 15 Mar 2022 06:30:01 +0000</pubDate>
    </item>
    <item>
      <title>T1546.005 - Trap 命令</title>
      <link>https://bbs.decoyit.com/thread-94-1-1.html</link>
      <description><![CDATA[一、概念

攻击者可以通过执行由中断信号触发的恶意内容来实现持久化，trap 命令允许程序和 shell 在接收到中断信号时执行命令。一个常见的情况是允许终止和处理常见键盘中断 (如 ctrl+c 和 ctrl+d) 的脚本。

当 shell 遇到特定中断时，攻击者使用 trap 命令来记录将被 ...]]></description>
      <category>TA0003 持久化</category>
      <author>吉沃运营专员</author>
      <pubDate>Thu, 17 Feb 2022 09:36:25 +0000</pubDate>
    </item>
    <item>
      <title>T1546.004 - 修改 Unix Shell 配置</title>
      <link>https://bbs.decoyit.com/thread-93-1-1.html</link>
      <description><![CDATA[一、概念

攻击者可通过执行 shell 触发的恶意命令来实现持久化，Unix Shell 根据事件在整个会话的不同点执行多个配置脚本。例如，当用户打开命令行界面或远程登录 (例如 SSH) 时，会启动登录 shell。登录 shell 从系统  (/etc)  和用户的主目录 (~/) 执行脚本来配置环 ...]]></description>
      <category>TA0003 持久化</category>
      <author>吉沃运营专员</author>
      <pubDate>Thu, 17 Feb 2022 06:31:22 +0000</pubDate>
    </item>
    <item>
      <title>T1546.003 - WMI 事件订阅</title>
      <link>https://bbs.decoyit.com/thread-91-1-1.html</link>
      <description><![CDATA[一、概念

攻击者可以通过执行由 Windows Management Instrumentation (WMI) 事件订阅触发的恶意内容来建立持久化并提升特权。WMI 可用于安装事件过滤器、提供程序、消费者和在定义的事件发生时执行代码的绑定。可以订阅的事件示例包括时钟时间、用户登录或计算机的正常 ...]]></description>
      <category>TA0003 持久化</category>
      <author>吉沃运营专员</author>
      <pubDate>Thu, 10 Feb 2022 10:06:23 +0000</pubDate>
    </item>
    <item>
      <title>T1546.002 - 屏幕保护程序</title>
      <link>https://bbs.decoyit.com/thread-90-1-1.html</link>
      <description><![CDATA[一、概念

攻击者可通过执行屏幕保护程序来触发恶意程序从而建立持久化。屏幕保护程序是在用户电脑不活动时执行的程序，由 .scr 文件扩展名的可移植可执行 (PE) 文件组成。Windows 屏幕保护程序 scrnsave.scr 位于 C:\\Windows\\System32\\ 和 64 位 Windows 系统上的 C:\\W ...]]></description>
      <category>TA0003 持久化</category>
      <author>吉沃运营专员</author>
      <pubDate>Thu, 10 Feb 2022 07:44:26 +0000</pubDate>
    </item>
    <item>
      <title>T1546.001 - 修改文件的默认关联程序</title>
      <link>https://bbs.decoyit.com/thread-81-1-1.html</link>
      <description><![CDATA[一、概念

攻击者可以通过执行由文件类型关联触发的恶意内容来建立持久性。当打开文件时，会检查用于打开文件的默认程序 (也称为文件关联或处理程序)。在 Windows 注册表中可以设置文件关联程序，可由具有注册表访问权限的用户、管理员或程序或管理员使用内置的 assoc  ...]]></description>
      <category>TA0003 持久化</category>
      <author>吉沃运营专员</author>
      <pubDate>Mon, 17 Jan 2022 10:08:53 +0000</pubDate>
    </item>
    <item>
      <title>T1546.015 - COM 劫持</title>
      <link>https://bbs.decoyit.com/thread-79-1-1.html</link>
      <description><![CDATA[一、概念

攻击者可以通过执行由对 COM 对象的引用被劫持触发的恶意内容来建立持久性，COM 是 Windows 内部的一个系统，允许通过操作系统实现软件组件之间的交互，对各种 COM 对象的引用存储在注册表中。攻击者可以使用 COM 系统插入恶意代码，通过劫持 COM 引用和关系 ...]]></description>
      <category>TA0003 持久化</category>
      <author>吉沃运营专员</author>
      <pubDate>Wed, 12 Jan 2022 08:36:45 +0000</pubDate>
    </item>
  </channel>
</rss>