查看win10系统升级日志，果然找到了原因，是因为CVE-2018-0886 的 CredSSP 2018 年 5 月 8 日更新默认设置从“易受攻击”更改为“缓解”的更新。相关的 Microsoft 知识库编号已在 CVE-2018-0886 中列出。默认情况下，安装此更新后，修补的客户端无法与未修补的服务器进行通信。 使用本文中描述的互操作性矩阵和组策略设置来启用“允许的”配置。 具体的内容请自行阅读：https://support.microsoft.com/zh-cn/help/4093492/credssp-updates-for-cve-2018-0886-march-13-2018
大家好，我是架构君，一个会写代码吟诗的架构师。今天说一说Win10 远程桌面连接出现“要求的函数不受支持”的解决办法之修改注册表[通俗易懂],希望能够帮助大家进步!!!
https://support.microsoft.com/zh-cn/help/4093492/credssp-updates-for-cve-2018-0886-march-13-2018
windows版本10.0.17134，安装最新补丁后无法远程windows server 2008、2013、2016服务器
组策略》计算机配置》Windows设置》安全设置》安全选项》系统加密：将FIPS兼容算法用于加密，哈希和签名。
声明：该公众号大部分文章来自作者日常学习笔记，也有少部分文章是经过原作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。
3、依次展开“计算机配置”->“管理模板”->“系统”->“凭据分配”设置名称： 加密数据库修正
本站文章除注明转载/出处外，均为本站原创，转载前请务必署名,转载请标明出处 最后编辑时间为: 2020/11/18 08:50:58
windows远程桌面是大家用的比较多的一个服务，经常会遇到一些这样那样的错误，下面我们就2个典型案例分析一下。 一、远程桌面，身份验证错误：要求的函数不受支持 报错现象如下图所示：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters
打开注册表，运行 "regedit" 根据路径，找到文件夹： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters 在 System之后没有的文件夹，需自己创建文件夹。 然后在最底部文件夹Parameters里面，新建 DWORD（32）位值（D）。 文件名 "AllowEncryptionOracle" ，值 : 2 保存 就可以了 。
找到路径：计算机\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
大家好，这里是 渗透攻击红队 的第 63 篇文章，本公众号会记录一些红队攻击的案例，不定时更新
SSP（Security Support Provider）是windows操作系统安全机制的提供者。简单的说，SSP就是DLL文件，主要用于windows操作系统的身份认证功能，例如NTLM、Kerberos、Negotiate、Secure Channel（Schannel）、Digest、Credential（CredSSP）。
Impacket是用于处理网络协议的Python类的集合，用于对SMB1-3或IPv4 / IPv6 上的TCP、UDP、ICMP、IGMP，ARP，IPv4，IPv6，SMB，MSRPC，NTLM，Kerberos，WMI，LDAP等协议进行低级编程访问。数据包可以从头开始构建，也可以从原始数据中解析，而面向对象的API使处理协议的深层次结构变得简单。
远程桌面对了解内网渗透的人来说可能再熟悉不过了。在渗透测试中，拿下一台主机后有时候会选择开 3389 进远程桌面查看一下对方主机内有无一些有价值的东西可以利用。但是远程桌面的利用不仅如此，本节我们便来初步汇总一下远程桌面在内网渗透中的各种利用姿势。
攻击者可以通过多种方式获得 Active Directory 中的域管理员权限。这篇文章旨在描述一些当前使用的比较流行的。此处描述的技术“假设破坏”，即攻击者已经在内部系统上站稳脚跟并获得了域用户凭据（也称为后利用）。
关于SSP的利用网上已经有很多的文章了，在16年左右三好学生师傅就已经对其有过详细的阐述，这里就不赘述了，或者可以来看snowming的文章(http://blog.leanote.com/post/snowming/ebdd89a8e83c)。都是基于注册表项来进行操作：
为了使Ansible与Windows主机通信并使用Windows模块，Windows主机必须满足以下要求：
本来按计划应该学习横向移动，但是发现一个问题，如何横向？这就是我记录这一章的目的，提升权限之后获取凭证，利用已获取的凭证扩大战果才是正确的姿势，学习的主要资料是参考链接中的分享，建议阅读参考的原文，再次说明，我的只是笔记，记录我的学习过程中的所思所想。
远程攻击的手法应该比较多，有的不需要指定远程端口，只要remote desktop services是监听的，就能一直攻击
对服务端机器（被远程的机器），除过termservice服务正常运行、远程端口正常监听外，还要额外以管理员身份执行一句powershell命令：
这是 WMI 攻击手法研究系列第三篇，本文将重点介绍与 Windows 注册表的交互。在开始之前需要了解的一件事情是：MITRE ATT&CK 对查询注册表 (Query Registry) 归类于 T1012 以及它的修改 (Modify Registry) 归类于 T1112。
PC机及其操作系统的一个特点就是允许用户按照自己的要求对计算机系统的硬件和软件进行各种各样的配置。 早期的图形操作系统，如Win3.x中对软硬件工作环境的配置是通过对扩展名为.ini的文件进行修改来完成的，但INI文件管理起来很不方便，因为每种设备或应用程序都得有自己的INI文件，并且在网络上难以实现远程访问。 为了克服上述这些问题，在Windows 95及其后继版本中，采用了一种叫做“注册表”的数据库来统一进行管理，将各种信息资源集中起来并存储各种配置信息。 按照这一原则Windows各版本中都采用了将应用程序和计算机系统全部配置信息容纳在一起的注册表，用来管理应用程序和文件的关联、硬件设备说明、状态属性以及各种状态信息和数据等。
在Windows环境中进行远程管理时，确实可能会遇到所谓的“双跳”问题。当我们从一个机器（A）远程连接到另一个机器（B），然后再试图从机器B连接到第三个机器（C），这种情况被称为“双跳”。在这种情况下，你可能会遇到权限或认证问题，因为默认情况下，我们的凭证不会从机器A传递到机器C。
在红队行动中在网络中获得最初的立足点是一项耗时的任务。因此，持久性是红队成功运作的关键，这将使团队能够专注于目标，而不会失去与指挥和控制服务器的通信。
最近在做打包的工作，应用程序的配置信息可以放在注册表文件中，但是在以前的16位操作系统下，配置信息放在Win.ini文件中。下面介绍一下Win.ini文件的读写方法和注册表的编程。 先介绍下Win.ini,,win.ini是Windows系统的一个基本系统配置文件。WIN.INI文件包含若干小节，每一节由一组相关的设定组成。文件配保存了诸如影响Windows操作环境的部分、控制系统界面显示形式及窗口和鼠标器的位置、联结特定的文件类型与相应的应用程序、列出有关HELP窗口及对话窗的默认尺寸、布局、文本颜色设置
也可以通过reg配置文件的方式启动：regedit /s startrdp.reg
在笔者前一篇文章《内核枚举Registry注册表回调》中实现了对注册表的枚举，本章将实现对注册表的监控，不同于32位系统在64位系统中，微软为我们提供了两个针对注册表的专用内核监控函数，通过这两个函数可以在不劫持内核API的前提下实现对注册表增加，删除，创建等事件的有效监控，注册表监视通常会通过CmRegisterCallback创建监控事件并传入自己的回调函数，与该创建对应的是CmUnRegisterCallback当注册表监控结束后可用于注销回调。
2023 年 4 月 3 日，旧注册表k8s.gcr.io将被冻结，Kubernetes 和相关子项目的镜像将不再推送到旧注册表。
近来由于需要在自己写的程序中对注册表进行操作。总结些经验，并做个一个DEMO供日后使用，现在把它拿出来和大家分享…
Process Monitor是微软推荐的一款系统监视攻击，能供实时显示文件系统、注册表、网络连接于进程活动的攻击工具。它整合了一些工具，其中Folemon专门用来监视系统中的任何文件操作过程，Regmon用来监视注册表的读写操作过程。
线程是执行任务，完成功能的基本单位，而进程则为线程提供了生存空间和线程所需要的其他资源，程序则是包含资源分配管理代码以及线程执行调度代码的一个静态计算机代码集合
在笔者前一篇文章《驱动开发：内核枚举Registry注册表回调》中实现了对注册表的枚举，本章将实现对注册表的监控，不同于32位系统在64位系统中，微软为我们提供了两个针对注册表的专用内核监控函数，通过这两个函数可以在不劫持内核API的前提下实现对注册表增加，删除，创建等事件的有效监控，注册表监视通常会通过CmRegisterCallback创建监控事件并传入自己的回调函数，与该创建对应的是CmUnRegisterCallback当注册表监控结束后可用于注销回调。
发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/119853.html原文链接：https://javaforall.cn
0x00 前言 知名恶意软件Poweliks曾使用过的一个后门技术，在注册表启动位置创建一个特殊的注册表键值，通过mshta来执行payload 对于这个特殊的注册表键值，在正常情况下无法对其访问，这
Windows注册表（Registry）是Windows操作系统中用于存储系统配置信息、用户设置和应用程序数据的一个集中式数据库。它是一个层次结构的数据库，由键（Key）和值（Value）组成，这些键和值被用于存储各种系统和应用程序的配置信息。
Windows注册表用于存储与计算机相关的各种设置，VBA中的GetSetting函数和SaveSetting函数能够读写Windows注册表，这样，我们不仅能够获取应用程序和硬件的信息，也可以将应用程序中的信息存储在注册表中以供使用。
如果找到了某个用户的ntlm hash，就可以拿这个ntlm hash当作凭证进行远程登陆了 其中若hash加密方式是 rc4 ，那么就是pass the hash 若加密方式是aes key,那么就是pass the key 注意NTLM和kerberos协议均存在PTH: NTLM自然不用多说 kerberos协议也是基于用户的client hash开始一步步认证的，自然也会受PTH影响
要查找的页面是当前不可用的。 该 Web 站点可能会出现技术的了问题，或者您可能需要调整浏览器设置。
SqlServer2000是20多年前的东西，微软官方程序最多只能安装到2012R2上，≥2016的都安装不上，牛逼网友搞的绿色版的SqlServer2000可以在所有Windows系统运行。这个绿色软件叫gsql，我见过1.27版、1.28版。
Windows XP的绝大部分注册表数据文件存放在C:\WINDOWS\system32\config。该目录里面包含了5个没有扩展名的文件，即当前注册表文件： DEFAULT（默认注册表文件，位于注册表的HKEY_USERS项分支下） SAM（安全账户管理器注册表文件，位于注册表的HKEY_LOCAL_MACHINE\SAM项分支下） SECURITY（安全注册表文件，位于注册表的HKEY_LOCAL_MACHINE\SECURITY项分支下） SOFTWARE（应用软件注册表文件，位于注册表的HKEY_LOCAL_MACHINE\SOFTWARE项分支下） SYSTEM（系统注册表文件，位于注册表的HKEY_LOCAL_MACHINE\SYSTEM项分支下） 另外，“%SystemRoot%\Repair”目录下，有一份系统刚刚装好时候原始注册表数据备份。 好了，知道位置后就要把GHOST中的相关文件提取出来，单独放在一个文件夹中，用Regedit编辑器“加载配置单元”进行编辑，编辑好后“卸载配置单元”，再替换回Ghost镜象，就完工了。 二 几个相关文件位置1 IE的首页可以在config目录下的software文件中，也可能在Document&settings_USERNAME_netusser.dat文件中2 屏保程序：windows_system32目录下3 主题文件：windows_resources_themes4 壁纸文件：windows_web_wallpaper5 安装背景：windows_system32_setup.bmp附： IE主页无法修改的注册表解决办法 有时候使用IE出现主页被改且无法修改的情况，而且选择Internet选项修改主页设置那里是灰色的，这很有可能是你在上网或者安装软件的时候中了病毒被修改且锁定了注册表值，首先推荐你使用优化大师\魔法兔子、黄山IE修复专家或者Upiea等系统优化软件来排除问题，但如果仍然不奏效或者你没有下载软件亦或者你正好看到了这篇文章，那么可以用下面修改注册表的方式侧地排除问题：
首先来了解一下，什么是注册表，注册表是Windows中特有的一个东西，百度百科中对其解释如下：Windows注册表(Registry)实质上是一个庞大的数据库，它存储着下面这些内容：用户计算机软、硬件的有关配置和状态信息，应用程序和资源管理器外壳的初始条件、首选项和卸载数据；计算机的整个系统的设置和各种许可，文件扩展名与应用程序的关联，硬件的描述、状态和属性；计算机性能记录和底层的系统状态信息，以及各类其他数据。
注册表是一个数据库，它的结构同逻辑磁盘类似。注册表包含键(Key)，它类似磁盘中的目录，注册表还包含键值(Value)，它类似磁盘中的文件。一个键可以包含多个子健和键值，其中键值用于存储数据，顶层建称为根键，注册表的根键如下图(Win+R 输入命令 regedit )：
一些安全研究员发现，通过修改创建的计划任务的注册表，同时删除计划任务文件，可以完全隐藏计划任务，并且执行不受影响
相信每个人对注册表并不陌生，在运行里面输入“regedit”就可以打开注册表编辑器了。这东西对Windows系统来说可是比较重要的，也是病毒常常会光顾的地方，比如病毒和恶意软件常常会在注册表的启动项里面写入自己的启动键值来达到自启动的目的，有些病毒还会修改注册表里面来映像劫持杀毒软件，这是破坏系统的第一步。同时，大多软件（软件的序列号和信息）和硬件信息、系统信息、安全模式等等设置都保存在这里，因此系统的健康在很大程度上要依赖注册表的健康。
注入与Hook：注入与hook经常被人们混淆，其实注入和hook是两种windows下的编程技术(当然，其他平台也有相关的技术)，由于在安全编程中，两项技术经常被同时结合起来使用，所以常常导入混淆。今天我们就谈谈windows下的注入技术。
描述：reg命令是WindowsXP提供的,它可以添加、更改和显示注册表项中的注册表子项信息和值,以及导入导出注册表项.
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
腾讯会议
