2026-10-16 13:10:13 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

[高级攻防]使用幻影持久化维持权限实现隐蔽持久化

原创

陆安予
陆安予

白帽子安全笔记2.0

2026年10月14日 22:33
江苏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、这是什么

之前我介绍了使用强制用户配置文件维持权限的技术海莲花维持权限攻击手法复现，实际上是利用合法机制进行隐蔽持久化。
为了举一反三此类技术，我还查找了其它方法，例如LegacyHive。甚至你可以观察到，目前普遍趋势例如前段时间知名的Defender各种破盾漏洞，全部都是利用合法机制。

最终，我寻找到了一种极其好用的维持权限方法，该技术由美国幻影安全网络安全公司的总裁S1n1st3r发现，其核心在于滥用 Windows 的应用重启机制，通过主动劫持关机流程，诱导内核在关机后期自动写入持久化条目，从而规避基于注册表写入监控的检测。因此取名为幻影持久化。

二、技术原理

1. Windows 应用重启机制

Windows 提供了一套名为 Application Restart and Recovery 的 API，用于在应用崩溃或系统更新导致重启后自动恢复应用状态。其核心 API 为：

1

HRESULT RegisterApplicationRestart(PCWSTR pwzCommandline, DWORD dwFlags);

调用此 API 注册后，Windows 会在系统关机/重启时记录该应用的信息，并在下次启动时自动重新启动它。（由系统进程 csrss.exe 在关机流程的最后阶段自动写入注册表）

1

HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce\\Application Restart #<NUMBER>

这意味着操作者进程完全不触碰注册表，从而规避了大多数 EDR 的注册表监控。

2. 关机流程劫持

幻影持久化的精妙之处在于主动劫持关机流程。当系统发起关机时，隐藏窗口会收到 WM\_QUERYENDSESSION 消息。操作者在此消息处理中执行以下操作：：

1. 调用 ShutdownBlockReasonCreate 声明“系统还在关机中”，暂时阻止关机。
1. 调用 AbortSystemShutdown 取消当前关机流程。
1. 启用 SE\_SHUTDOWN\_NAME 特权。
1. 调用 ExitWindowsEx(EWX\_RESTARTAPPS | EWX\_FORCE, ...) 主动触发带 RESTARTAPPS 标志的重启。

三. 运行流程

进程启动调用 RegisterApplicationRestart 注册重启等待 60 秒以满足系统要求创建隐藏窗口并进入消息循环下载并执行远程 Shellcode系统发起关机隐藏窗口拦截 WM\_QUERYENDSESSION阻止关机流程启用 SE\_SHUTDOWN\_NAME 特权主动触发带 EWX\_RESTARTAPPS 标志的重启csrss.exe 在关机后期写入 RunOnce 条目系统重启explorer.exe 读取 RunOnce 条目自动启动该应用重新下载并执行 Shellcode结束开始关机劫持过程持久化写入过程重启恢复过程

此方法opsec规避极高，主要体现在：