|
經驗談
備份 PE 的 \Windows\System32\config 資料夾
進 PE 開 Regshot 執行第1次shot , 開始安裝第三方软件 , 成功安裝完成後 , Regshot 執行第2次shot , 比較前後shot , 得到第三方软件安裝的注冊碼及文件(位置) , 離線注入 PE
如果 PE 安裝第三方软件失敗 , 進正常系統 , 開 Regshot , 安裝第三方软件 , 得到第三方软件安裝的注冊碼及文件位置 , 離線注入 PE
問題 ::
將得到的第三方软件安裝的注冊碼及文件 , 離線注入 PE 後 , 進 PE 不能執行:
1. 缺文件 , 使用 ProcessMonitor , 可大概看出是System32裡面或是SysWOW64裡面或是其他資料夾裡面缺了那些文件 , 逐一從正常系統補文件到正確位置
2. 缺服務 , 使用 ProcessMonitor , 可看出執行時 , 訪問了那些Services , 進正常系統進該Services , 配合 ProcessMonitor , 做開啟服務及注消服務動作 , 從 ProcessMonitor 裡面 , 可大概看出 , 逐一從正常系統補注冊碼及文件
3. 缺資料夾 , 新增資料夾就解決
4. 注冊碼
篩選得到的第三方软件安裝時的注冊碼 :
保留及刪減要領是有無涉及 [PE 專有的] [Services] 和 [SECURITY] ,
[SECURITY] 注冊碼不能離線預先注入 PE , 否則 PE 無法啟動:
[HKEY_LOCAL_MACHINE\SECURITY\
[HKEY_LOCAL_MACHINE\SAM\
[Services] :
驅動類 , 保留下列 3 項多半足夠
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\
[PE 專有的注冊碼] :
概略最簡單方法是匯出舊的 [備份 PE 的 \Windows\System32\config\SYSTEM] 注冊碼
然後匯入到新的 SYSTEM 裡面
5. 例外
當完成前述 1~4 動作 , 進 PE 仍然無法正確執行第三方软件 , 如果是 [Services] 沒有啟動.
一些啟動服務的例子 :
netcfg -c s -i MS_verigio (阻止訪問特定網址軟件)
net start hcmon (VMware Player)
net start VMAuthdService (VMware Player)
net start VMnetDHCP (VMware Player)
net start "VMware NAT Service" (VMware Player)
net start VMUSBArbService (VMware Player)
sc.exe start VSS
...
這些服務可進桌面啟動 , 之後才可正確執行第三方软件
當然可以自動化所有服務啟動動作
6. 自我摸索及折騰!! |
评分
-
查看全部评分
|