大家好，又见面了，我是你们的朋友全栈君。如果您正在找激活码,请点击查看最新教程,关注关注公众号 “全栈程序员社区” 获取激活教程,可能之前旧版本教程已经失效.最新Idea2022.1教程亲测有效,一键激活。
Jetbrains全系列IDE使用 1年只要46元 售后保障 童叟无欺
映像劫持说白了还是利用了windows的一些特性，当你点击可执行文件进行执行时，系统并不会直接就对可执行文件进行执行，而是首先对注册表的
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options，这个路径下面如果存在和该程序名称完全相同的子键，就查询对应子健中包含的“Dubugger”键值名，并用其指定的程序路径来代替原始的程序，之后执行的是遭到“劫持”的虚假程序。
比较常用的是shift后门的用法。
在这个路径下，HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options，创建或者修改sethc.exe 如下图所示，那么可以在不登陆的情况下，点击5次shift时调出cmd 
测试一下
貌似因为是系统给启动的，直接继承系统权限了。。。。
应急响应时排查HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options
这个下面有没有奇奇怪怪东西就可以了。
发布者：全栈程序员-站长，转载请注明出处：https://javaforall.net/192385.html原文链接：https://javaforall.net
