文章总结： 本文深度剖析Windows权限维持技术，重点介绍SkeletonKey域后门原理、应用场景及防护体系。防护需遵循纵深防御、最小权限、基线管理、行为监测与快速响应原则，覆盖注册表、服务、计划任务、WMI事件订阅、DLL劫持及凭据保护等维度，并推荐Autoruns、Sysmon等检测工具。典型案例揭示WMI事件订阅可潜伏五年，强调需建立专门检测能力与全流量监控。 综合评分： 85 文章分类： 红队,内网渗透,安全建设,应急响应,安全运营

---

深度剖析：Windows权限维持技术培训（下）

原创

小安伴你行 小安伴你行

小安伴你行

2026年9月8日 09:18 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

3.10 Skeleton Key域后门

3.10.1 技术介绍

Skeleton Key是一种针对域控制器的认证后门技术。攻击者通过向域控制器的lsass.exe进程注入恶意代码，修改域控制器的原有认证逻辑，就可以使用统一的“万能密码”以任意用户身份登录域。该技术由知名安全工具Mimikatz推出，是域级权限维持的经典方法。

3.10.2 原理分析

Skeleton Key的注入过程如下：

1. 攻击者获取域管理员权限，获得域控制器访问权限后，在域控制器上执行Mimikatz的misc::skeleton命令。
2. Mimikatz会向lsass.exe进程注入一个DLL（或修改内存中的认证函数），对NTLM认证函数进行挂钩（hook），最终得到的修改后认证逻辑为：先用用户提供的原始密码完成认证，如果认证失败，则尝试使用预设的“万能密码”（Mimikatz默认密码为mimikatz）进行二次认证。
3. 完成注入后，任何域账户都可以使用该“万能密码”登录，包括域管理员账户。

Skeleton Key的技术细节：

内存注入：Skeleton Key仅存在于lsass.exe进程的内存中，不会修改磁盘文件，重启域控制器后门就会失效。

认证函数挂钩：Mimikatz挂钩的是DecryptCallbackEqualCredentials函数，该函数负责处理NTLM认证中的密码验证环节。

万能密码：默认万能密码为”mimikatz”，攻击者可以在注入时自行指定其他密码。

兼容性：该技术不会影响正常用户的密码认证，用户使用原密码仍可正常登录，后门对正常业务使用完全透明。

Skeleton Key的局限性：

非持久化：域控制器重启后后门就会消失，需要重新注入才能使用。

权限要求高：注入操作需要Domain Admin权限才能执行。

多域控适配限制：每个域控制器需要单独完成注入，不存在自动同步机制。

3.10.3 应用场景

域应急访问：当攻击者无法确定能否持续保持域控访问时，可注入Skeleton Key作为应急访问通道。

多域控环境：可在所有域控上批量注入Skeleton Key，确保即使部分域控被发现异常，依旧可以通过其他域控完成访问。

短期高强度控制：当需要在短时间内频繁以不同用户身份访问域资源时，使用Skeleton Key可以规避凭据管理的复杂性。

权限维持过渡：可作为部署其他持久化手段前的临时方案，能够快速建立域级访问能力。

检测对抗：由于Skeleton Key不修改磁盘文件，也不会生成异常文件，仅能通过内存分析或行为检测发现，适合开展短期高强度攻击操作。

第四章 Windows权限维持技术防护体系

4.1 防护体系建设原则

Windows权限维持技术防护体系的建设应遵循以下原则：

1. 纵深防御原则：由于权限维持技术种类繁多、利用方式各不相同，单一防护手段无法覆盖所有攻击面，因此需要构建包含预防、检测、响应、恢复在内的多层次防护体系。
2. 最小权限原则：严格限制普通用户与管理员的权限范围，始终遵循最小权限原则，减少攻击者可利用的持久化路径；同时实施分级分权管理，避免权限过度集中。
3. 基线管理原则：建立系统安全基线，定期对注册表自启动项、服务列表、计划任务、COM对象配置等内容进行完整性校验，及时发现异常变更。
4. 行为监测原则：既然无法完全阻止权限维持技术部署，就应当重点建设行为监测能力，对异常进程创建、异常注册表修改、异常网络连接等行为进行实时监测。
5. 快速响应原则：发现权限维持攻击痕迹后，需要快速定位、全面清除、追踪溯源。建立标准化的应急响应流程，确保响应的及时性和彻底性。

4.2 注册表持久化防护

4.2.1 注册表自启动项监控

对所有已知的自启动注册表位置建立基线，定期比对变更。重点关注以下位置：

• 所有Run/RunOnce键值（HKLM和HKCU）
• Userinit、Shell、AppInit_DLLs等系统关键键值
• Winlogon相关键值
• Active Setup组件配置
• Terminal Server相关键值

使用Autoruns工具定期导出自启动项清单，与基线比对。部署Sysmon配置监控注册表修改事件（Event ID 12、13、14），对关键注册表位置的修改行为进行告警。

4.2.2 AppInit_DLLs加固

AppInit_DLLs是一个高风险的持久化位置，任何加载User32.dll的进程都会加载AppInit_DLLs指定的DLL。建议：在生产环境中禁用AppInit_DLLs（设置注册表值为空或删除）；在域环境中通过组策略统一配置，禁止AppInit_DLLs的加载。

4.3 服务与计划任务防护

4.3.1 服务安全加固

服务清单基线：建立已安装服务的基线清单，包含服务名称、显示名称、二进制路径、启动类型、运行账户等信息。定期比对发现新增或修改的服务。

服务路径检查：检查所有服务的ImagePath路径是否包含空格且未加引号（未加引号的服务路径漏洞），对存在漏洞的服务路径进行修复。

服务权限审计：审计服务的ACL配置，确保普通用户无法修改服务配置。重点关注服务的”更改配置”和”控制服务”权限。

Sysmon监控：部署Sysmon Event ID 4（服务配置变更）和Event ID 7045（服务安装）规则，对服务创建和配置修改行为进行告警。

4.3.2 计划任务安全加固

任务清单审计：定期导出所有计划任务清单（schtasks /query /fo LIST /v），比对基线发现新增任务。重点关注以SYSTEM权限运行、触发器为启动或登录的任务。

任务脚本检查：检查计划任务执行脚本的内容，关注包含PowerShell、cmd.exe、rundll32.exe等可执行程序的命令。

任务目录监控：监控%SystemRoot%\System32\Tasks\目录的文件变化，对新增、修改、删除任务文件的行为进行告警。

4.4 WMI事件订阅防护

4.4.1 WMI事件订阅检测

WMI事件订阅是隐蔽性最高的持久化技术之一，需要专门的检测手段：

1.PowerShell检测命令：使用以下PowerShell命令定期检查WMI永久事件订阅：

Get-WMIObject -Namespace root\Subscription -Class __EventFilterGet-WMIObject -Namespace root\Subscription -Class __EventConsumerGet-WMIObject -Namespace root\Subscription -Class __FilterToConsumerBinding

2.Sysmon监控：Sysmon Event ID 19（WMI Filter）、Event ID 20（WMI Consumer）、Event ID 21（WMI Binding）专门用于监控WMI事件订阅的创建，部署这些规则可实时发现WMI持久化行为。

3.WMI仓库监控：监控WMI仓库文件（%SystemRoot%\System32\wbem\Repository\）的变化，异常增长或频繁写入可能表明WMI事件订阅活动。

4.4.2 WMI安全加固

禁用WMI远程访问：在不需要WMI远程管理的服务器上通过防火墙规则禁用WMI远程访问端口（TCP 135及动态端口范围）。

WMI命名空间安全：审计WMI命名空间的ACL配置，确保普通用户无法在root\Subscription命名空间下创建事件订阅。

4.5 DLL劫持与COM劫持防护

4.5.1 DLL劫持防护

应用程序路径保护：确保应用程序安装目录的ACL配置严格，普通用户仅有读取和执行权限，无写入权限。

已知DLLs保护：Windows注册表HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs中列出的DLL受到保护，系统始终从System32目录加载。确保关键DLL列入KnownDLLs。

SafeDLLSearchMode：确保注册表HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\SafeDLLSearchMode值为1（默认值），启用安全DLL搜索模式，将系统目录优先级提前到当前目录之前。

文件完整性监控：对关键应用程序目录进行文件完整性监控，发现新增DLL文件时告警。

4.5.2 COM劫持防护

COM对象注册表基线：对HKCR\CLSID下的关键COM对象配置建立基线，定期比对InprocServer32和LocalServer32键值的变化。

Autoruns检查：Autoruns工具的”Explorer”和”Office Addins”标签页可以检查已知的COM劫持位置，定期运行进行检查。

注册表监控：部署Sysmon或注册表监控规则，对HKCR\CLSID下InprocServer32和LocalServer32键值的修改行为进行告警。

4.6 认证与凭据防护

4.6.1 凭据保护

LSASS保护：启用Windows Defender Credential Guard（Windows 10/11和Server 2016+），通过虚拟化安全保护LSASS进程中的凭据。配置”配置LSASS为受保护进程”（ConfigLSAPPLflag）策略。

凭据缓存限制：限制凭据缓存数量，通过组策略”交互式登录：之前登录到域的缓存次数”设置为0或1。

管理员凭据隔离：在域环境中使用分层管理模型（Tier 0/1/2），限制域管理员凭据在非域控服务器上的使用，避免凭据被窃取。

特权访问管理：实施PAM（Privileged Access Management）方案，对特权操作进行审计和即时（Just-In-Time）权限分配。

4.6.2 Kerberos安全加固

krbtgt账户保护：krbtgt账户是黄金票据攻击的核心目标。定期（建议每半年）重置krbtgt账户密码，并遵循双密钥轮换流程（重置两次以确保旧密钥完全失效）。

Kerberos策略加固：设置合理的票据有效期（TGT建议不超过10小时），启用Kerberos Armoring（FAST），增强Kerberos认证安全性。

异常票据检测：部署Kerberos异常检测规则，监控异常的TGS请求（如从不存在的IP发起请求）、超长有效期的票据、以不存在的SPN请求的票据等。

DCShadow防护：限制具有复制目录变更权限的账户数量，监控域控制器的nTDSDSA对象变更，及时发现未授权的DCShadow操作。

4.6.3 域控制器安全加固

LSASS保护：在域控制器上启用Credential Guard和受保护进程LSASS，防止Skeleton Key等内存注入攻击。

域控访问控制：严格限制对域控制器的交互式登录权限，仅允许通过堡垒机（jumphost）进行管理操作。

实时内存扫描：部署EDR解决方案，对域控制器lsass.exe进程进行实时监控，检测异常DLL注入和内存修改行为。

域控事件监控：对域控制器的事件日志进行集中收集和分析，重点关注4624（登录）、4672（特权登录）、4768/4769/4770（Kerberos认证）等安全事件。

4.7 检测工具与平台

4.7.1 检测工具推荐

Autoruns：Sysinternals工具套件中的自启动项检查工具，覆盖所有已知的自启动位置，包括注册表、服务、计划任务、COM对象、浏览器扩展等。支持基线对比和VirusTotal在线检测。

Sysmon：Sysinternals系统监控工具，可记录进程创建、网络连接、文件创建、注册表修改、WMI事件订阅、驱动加载等系统行为，是构建终端检测能力的基础工具。

Sysmon-Config：业界维护的Sysmon配置模板（如SwiftOnSecurity/sysmon-config），提供针对权限维持技术的检测规则集。

PowerShell Empire检测：针对PowerShell持久化，部署AMS接口（Anti-Malware Scan Interface）和PowerShell Script Block Logging，记录PowerShell脚本执行内容。

WMIToolkit：专门用于检测和清除WMI持久化的工具集，包括WMI事件订阅枚举、清理等功能。

4.7.2 检测平台建设

EDR平台：部署企业级EDR解决方案，提供终端行为监控、威胁检测、自动化响应能力。EDR应覆盖进程、文件、注册表、网络、WMI等多个维度的行为监控。

SIEM平台：集中收集Sysmon日志、Windows安全日志、EDR告警等多源数据，通过关联分析规则发现权限维持行为。关键检测规则包括：

• 新服务创建 + 异常二进制路径
• WMI事件订阅创建
• 注册表自启动位置修改
• 异常的计划任务创建
• lsass.exe进程异常内存操作

威胁狩猎：定期开展威胁狩猎活动，基于ATT&CK框架的Persistence战术（TA0003）技术列表，主动排查潜在的权限维持痕迹。

第五章典型案例分析

5.1 案例一：APT组织利用WMI事件订阅实现五年潜伏

5.1.1 案例背景

某政府机构在一次安全检查中发现网络流量异常，经溯源发现一台内部办公服务器存在可疑的WMI活动。该服务器已运行7年未重装系统，攻击者利用WMI事件订阅在该服务器上潜伏超过5年，期间持续窃取敏感文件。

5.1.2 攻击过程

攻击者通过钓鱼邮件获取初始访问权限，利用漏洞提权至SYSTEM。

在服务器上创建WMI永久事件订阅，过滤器监听系统启动事件，消费者执行Base64编码的PowerShell脚本。

PowerShell脚本从伪装的图片文件（steganography）中解码C2载荷，建立隐蔽通信通道。

每次系统重启后，WMI事件自动触发，10分钟内C2通道恢复。

攻击者利用该服务器作为跳板，横向移动至3台内网服务器，均部署WMI持久化。

5.1.3 发现与处置

NSA级别的网络流量分析发现该服务器存在周期性的DNS隧道通信。

安全团队使用PowerShell检查WMI事件订阅，发现3个恶意EventFilter和CommandLineEventConsumer。

清除WMI事件订阅后，分析关联的图片文件，提取完整的C2载荷。

全面排查域内所有服务器，发现另外3台服务器存在相同WMI持久化，逐一清除。

重置受影响服务器的所有账户密码，重建被横向移动的服务器。

5.1.4 经验教训

WMI事件订阅的隐蔽性极高，常规安全检查难以发现，需要专门检测能力。

长期运行未重装的服务器是权限维持的高风险目标，应纳入重点监控范围。

网络流量分析是发现隐蔽C2通信的重要手段，应部署全流量监控能力。

WMI持久化清除需同时清除EventFilter、EventConsumer和FilterToConsumerBinding三个组件。

5.2 案例二：勒索软件利用服务后门加速传播

5.2.1 案例背景

某中型企业遭遇勒索软件攻击，超过200台Windows主机被加密。事后分析发现，攻击者在加密前2周就已经通过Windows服务后门在多台主机上建立持久化，为后续大规模加密做准备。

5.2.2 攻击过程

攻击者通过暴露的RDP服务暴力破解获取初始访问。

在10台关键主机上创建Windows服务，服务名称伪装为系统服务名称（如”Microsoft Update Service”），ImagePath指向ProgramData目录下的恶意程序。

服务设置为自动启动，确保系统重启后恶意程序持续运行。

2周后，攻击者通过服务后门下发勒索软件载荷，利用已有的SYSTEM权限快速执行加密。

由于服务后门以SYSTEM权限运行，勒索软件能够加密包括系统文件在内的所有文件。

5.2.3 发现与处置

加密事件发生后，应急响应团队首先隔离所有主机，防止扩散。

分析未加密的主机，发现多台主机存在可疑的伪装系统服务。

清除所有伪装服务，提取恶意程序样本分析。

恢复备份，重建受影响主机。

加强RDP安全配置，启用账户锁定策略和网络级认证（NLA）。

5.2.4 经验教训

勒索软件攻击通常有准备阶段，权限维持是准备阶段的关键活动。

服务后门因SYSTEM权限运行，危害极大，是勒索软件的理想载体。

服务名称伪装是常见手法，应通过服务二进制路径而非名称判断服务合法性。

RDP暴露是主要的初始入侵途径，应严格控制并加固RDP安全配置。

5.3 案例三：内鬼利用影子账户维持后门

5.3.1 案例背景

某企业IT运维人员离职3个月后，企业发现核心数据库出现异常数据修改。经调查发现，该运维人员在职期间创建了影子账户，离职后仍利用该账户远程登录系统进行操作。

5.3.2 攻击过程

运维人员利用管理员权限修改SAM注册表权限，获得直接访问SAM hive的权限。

创建一个以$结尾的用户名（backup$），使其在net user中不显示。

修改backup$账户的F值为Administrator的F值，赋予管理员权限。

离职前未告知该账户的存在，离职后使用backup$账户通过VPN登录内网。

由于账户在常规管理工具中不可见，IT部门一直未发现该后门账户。

5.3.3 发现与处置

数据库审计日志显示异常修改操作来自一个未知的本地账户。

安全团队直接检查SAM注册表，发现backup$账户及其异常的F值配置。

立即删除影子账户，修改所有管理员账户密码。

审计所有服务器的SAM注册表，排查其他影子账户。

建立员工离职安全流程，包括账户清单核对和权限回收。

5.3.4 经验教训

内部威胁同样需要重视权限维持技术，影子账户是内部人员常用手法。

员工离职流程应包括安全检查环节，核对账户清单和权限配置。

net user和计算机管理控制台无法发现影子账户，需要直接检查SAM注册表。

账户管理应建立完整的台账，定期审计所有账户的来源和用途。

5.4 案例四：红队演练中的黄金票据持久化

5.4.1 案例背景

在某次针对大型企业的红队演练中，红队通过钓鱼攻击获取了普通域用户凭据，利用域内权限配置不当在一周内获取了域管理员权限。随后红队使用黄金票据技术建立了域级持久化，在演练的剩余2周内持续保持域控访问。

5.4.2 攻击过程

红队通过精心制作的钓鱼邮件获取一名财务人员的域账户凭据。

利用BloodHound分析域内权限关系，发现该用户对某台服务器具有本地管理员权限。

在该服务器上获取到一名域管理员的登录凭据（凭据缓存）。

使用域管理员凭据执行DCSync攻击，提取krbtgt账户的NTLM哈希。

使用Mimikatz生成黄金票据，注入当前会话。

使用黄金票据以域管理员身份访问域控，导出域内所有用户哈希。

在演练剩余时间内，即使蓝队修改了多个账户密码，红队仍通过黄金票据保持访问。

在两台域控上部署Skeleton Key作为备份持久化手段。

5.4.3 发现与处置

蓝队在演练后期通过异常Kerberos流量分析发现可疑的TGS请求。

分析发现部分TGS请求对应的用户账户从未通过正常AS认证流程获取TGT。

进一步分析发现TGS请求使用了一个超长有效期的票据（超过24小时）。

蓝队重置krbtgt账户密码（连续重置两次），使所有黄金票据失效。

检查域控lsass.exe进程内存，发现Skeleton Key注入痕迹。

重启域控制器清除Skeleton Key后门。

全面排查域内权限配置，修复BloodHound发现的不当权限分配。

5.4.4 经验教训

黄金票据是最强大的域级持久化技术，krbtgt哈希泄露等同于域控沦陷。

krbtgt密码重置需要连续两次，确保旧密钥完全失效。

Kerberos异常流量分析是发现黄金票据的重要手段，应建设相关检测能力。

DCSync攻击允许任何具有复制目录变更权限的账户提取krbtgt哈希，应严格限制该权限。

域内权限配置不当是攻击者快速提权的关键因素，应定期进行权限审计。

第六章总结与建议

6.1 技术发展趋势

Windows权限维持技术呈现出以下发展趋势：

无文件化：越来越多的权限维持技术避免落地可执行文件，转而利用PowerShell、WMI、COM等系统原生机制实现无文件持久化，提高规避检测的能力。

内存化：内存后门（如Skeleton Key、Mimikatz的LSASS注入）不修改磁盘文件，仅通过内存分析才能发现，对传统文件扫描类检测构成挑战。

合法工具利用：攻击者越来越多地利用操作系统自带的合法工具和机制（PowerShell、WMI、BITS、certutil等），使恶意行为混入正常系统管理中。

多层级冗余：高级攻击者通常在用户级、系统级、域级三个层面同时部署多种持久化机制，形成冗余体系，大幅提高清除难度。

云与混合环境延伸：随着企业向云迁移，权限维持技术开始延伸至云环境（如Azure AD的后门、Office 365的持久化等），防护范围需相应扩展。

6.2 防护建议

基于对Windows权限维持技术的系统分析，提出以下防护建议：

建立安全基线：对注册表自启动项、服务、计划任务、COM对象、WMI事件订阅等关键位置建立安全基线，定期比对变更，及时发现异常。

部署终端检测：部署EDR解决方案和Sysmon，覆盖进程、文件、注册表、网络、WMI等多维度行为监控，建立基于ATT&CK框架的检测规则集。

强化认证安全：启用Credential Guard保护LSASS凭据，实施分层管理模型限制域管理员凭据使用范围，定期轮换krbtgt密码。

加强日志审计：集中收集和分析Windows安全日志、Sysmon日志、PowerShell日志，建立SIEM关联分析规则，实现自动化威胁检测。

定期威胁狩猎：基于ATT&CK框架Persistence战术的技术列表，定期开展威胁狩猎活动，主动排查潜在的权限维持痕迹。

完善应急响应：建立标准化的应急响应流程，包括检测、遏制、根除、恢复、复盘五个阶段，确保对权限维持后门的彻底清除。

安全意识培训：定期对员工进行安全意识培训，防止钓鱼攻击等初始入侵途径，从源头减少权限维持技术的部署机会。

最小权限原则：严格遵循最小权限原则，分级分权管理，限制普通用户和管理员的权限范围，减少攻击者可利用的持久化路径。

6.3 结语

Windows权限维持技术是攻防对抗的核心领域之一。攻击者通过这些技术在目标系统中建立持久化控制，而防守方则需要掌握这些技术才能有效检测和清除后门。本文档从攻防双重视角系统梳理了Windows平台的主流权限维持技术，涵盖了从用户级到域级的完整技术体系。

需要强调的是，安全防护不是一劳永逸的工作。随着攻防技术的不断发展，新的权限维持技术层出不穷，防守方需要持续学习、持续改进，构建动态、纵深、自适应的安全防护体系。同时，本文档中涉及的所有技术内容仅用于安全防御培训目的，在实际工作中应严格遵守法律法规和公司安全政策，不得将相关技术用于非授权的系统测试或攻击。

附录A 常用检测命令速查表

| | | | — | — | | 检测目标 | 命令/工具 | | 自启动项 | Autoruns.exe -a -nobanner | | 注册表Run键 | reg query “HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run” | | 注册表Run键(用户) | reg query “HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run” | | 所有服务 | sc query state= all | | 服务配置 | sc qc <服务名> | | 计划任务 | schtasks /query /fo LIST /v | | WMI事件过滤器 | Get-WMIObject -Namespace root\Subscription -Class __EventFilter | | WMI事件消费者 | Get-WMIObject -Namespace root\Subscription -Class CommandLineEventConsumer | | WMI绑定关系 | Get-WMIObject -Namespace root\Subscription -Class __FilterToConsumerBinding | | 本地用户列表 | net user | | 本地管理员组 | net localgroup administrators | | SAM注册表检查 | 手动检查HKLM\SAM\SAM\Domains\Account\Users\Names | | PowerShell配置文件路径 | $PROFILE | | COM对象CLSID | reg query "HKCR\\CLSID" /s /f "InprocServer32" | | AppInit\_DLLs | reg query "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows" /v AppInit\_DLLs | | KnownDLLs | reg query "HKLM\\SYSTEM\\CurrentControlSet\\Control\\Session Manager\\KnownDLLs" | | 端口监听 |netstat -ano \ | | 网络连接 | `netstat -ano \ |

附录B 推荐工具列表

| | | | | — | — | — | | 工具名称 | 用途 | 来源 | | Autoruns | 自启动项全面检查 | Sysinternals | | Sysmon | 系统行为监控 | Sysinternals | | Process Monitor | 进程文件/注册表活动实时监控 | Sysinternals | | Mimikatz | 凭据提取与Kerberos攻击（安全检测用途） | gentilkiwi | | PowerSploit | PowerShell安全评估框架 | PowerShellMafia | | BloodHound | Active Directory权限分析 | BloodHoundHQ | | WMIFinder | WMI事件订阅检测 | 社区 | | RegShot | 注册表快照比对 | 社区 | | YARA | 恶意文件模式匹配 | VirusTotal | | MITRE ATT&CK Navigator | ATT&CK框架可视化 | MITRE |

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：小安伴你行 小安伴你行 小安伴你行《深度剖析：Windows权限维持技术培训（下）》