Zmień/stwórz nową wartość w rejestrze
tty1 · powershell
PS> sp HKCU:\Software\Microsoft\Windows Signature "YwBhAGwAYwA="
#Powershell#RedTeam#Backdoor#Rejestr#Windows
Powyższy oneliner ustawi w rejestrze Windows dla subklucza w lokalizacji HKCU:\SOFTWARE\Microsoft\Windows wartość YwBhAGwAYwA= o nazwie Signautre.
W pełnej, zgodnej ze sztuką formie bez skracania, miałoby to postać:
Set-ItemProperty -Path "HKCU:\SOFTWARE\Microsoft\Windows" -Name "Signature" -Value "YwBhAGwAYwA="
Ten konkretny przypadek umieści zakodowany w base64 string calc.exe pod nazwą Signature, która domyślnie w tym subkluczu rejestru nie istnieje - posłuży nam to jako payload, który zostanie uruchomiony w protipie /pl/0053.
Żeby na szybko wyświetlić jakie znajdują się wartości w danym subkluczu, możemy wykorzystać polecenie:
Get-ItemProperty -Path "HKCU:\SOFTWARE\Microsoft\Windows"
lub w skrócie
gp HKCU:\SOFTWARE\Microsoft\Windows