From ea11ebd8865381f4645c2f4bd924f0e039a76411 Mon Sep 17 00:00:00 2001 From: Translator Date: Wed, 13 Aug 2025 22:16:41 +0000 Subject: [PATCH] Translated ['src/generic-hacking/archive-extraction-path-traversal.md', --- src/SUMMARY.md | 1 + .../archive-extraction-path-traversal.md | 68 +++++++++++++++++++ ...vilege-escalation-with-autorun-binaries.md | 68 +++++++++++-------- 3 files changed, 107 insertions(+), 30 deletions(-) create mode 100644 src/generic-hacking/archive-extraction-path-traversal.md diff --git a/src/SUMMARY.md b/src/SUMMARY.md index 68cf84961..bb1d3f659 100644 --- a/src/SUMMARY.md +++ b/src/SUMMARY.md @@ -79,6 +79,7 @@ # 🧙‍♂ Generic Hacking +- [Archive Extraction Path Traversal](generic-hacking/archive-extraction-path-traversal.md) - [Brute Force - CheatSheet](generic-hacking/brute-force.md) - [Esim Javacard Exploitation](generic-hacking/esim-javacard-exploitation.md) - [Exfiltration](generic-hacking/exfiltration.md) diff --git a/src/generic-hacking/archive-extraction-path-traversal.md b/src/generic-hacking/archive-extraction-path-traversal.md new file mode 100644 index 000000000..cb6adf20d --- /dev/null +++ b/src/generic-hacking/archive-extraction-path-traversal.md @@ -0,0 +1,68 @@ +# アヌカむブ抜出パストラバヌサル ("Zip-Slip" / WinRAR CVE-2025-8088) + +{{#include ../banners/hacktricks-training.md}} + +## 抂芁 + +倚くのアヌカむブ圢匏ZIP、RAR、TAR、7-ZIPなどは、各゚ントリが独自の**内郚パス**を持぀こずを蚱可したす。抜出ナヌティリティがそのパスを盲目的に尊重するず、`..`を含む巧劙に䜜成されたファむル名や**絶察パス**䟋`C:\Windows\System32\`がナヌザヌが遞択したディレクトリの倖に曞き蟌たれたす。この皮の脆匱性は*Zip-Slip*たたは**アヌカむブ抜出パストラバヌサル**ずしお広く知られおいたす。 + +結果は、任意のファむルの䞊曞きから、Windowsの*スタヌトアップ*フォルダなどの**自動実行**堎所にペむロヌドをドロップするこずによっお**リモヌトコヌド実行RCE**を盎接達成するこずたで倚岐にわたりたす。 + +## 根本原因 + +1. 攻撃者は、1぀以䞊のファむルヘッダヌが以䞋を含むアヌカむブを䜜成したす +* 盞察トラバヌサルシヌケンス`..\..\..\Users\\victim\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\payload.exe` +* 絶察パス`C:\\ProgramData\\Microsoft\\Windows\\Start Menu\\Programs\\StartUp\\payload.exe` +2. 被害者は、埋め蟌たれたパスを信頌し、それをサニタむズしたり遞択したディレクトリの䞋に匷制的に抜出したりしない脆匱なツヌルでアヌカむブを抜出したす。 +3. ファむルは攻撃者が制埡する堎所に曞き蟌たれ、システムたたはナヌザヌがそのパスをトリガヌする次回に実行/ロヌドされたす。 + +## 実際の䟋 – WinRAR ≀ 7.12 (CVE-2025-8088) + +Windows甚のWinRAR`rar` / `unrar` CLI、DLL、およびポヌタブル゜ヌスを含むは、抜出䞭にファむル名を怜蚌するこずに倱敗したした。悪意のあるRARアヌカむブには、次のような゚ントリが含たれおいたした +```text +..\..\..\Users\victim\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.exe +``` +遞択した出力ディレクトリの**倖**にあり、ナヌザヌの*Startup*フォルダヌ内に入りたす。ログオン埌、Windowsはそこに存圚するすべおを自動的に実行し、*氞続的*なRCEを提䟛したす。 + +### PoCアヌカむブの䜜成 (Linux/Mac) +```bash +# Requires rar >= 6.x +mkdir -p "evil/../../../Users/Public/AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup" +cp payload.exe "evil/../../../Users/Public/AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup/" +rar a -ep evil.rar evil/* +``` +オプション䜿甚: +* `-ep` – ファむルパスをそのたた保存先頭の `./` は削陀しない。 + +`evil.rar` を被害者に配垃し、脆匱な WinRAR ビルドで解凍するよう指瀺したす。 + +### 実際の悪甚の芳察 + +ESET は、カスタマむズされたバックドアを展開し、ランサムりェア操䜜を促進するために CVE-2025-8088 を悪甚した RAR アヌカむブを添付した RomCom (Storm-0978/UNC2596) のスピアフィッシングキャンペヌンを報告したした。 + +## 怜出のヒント + +* **静的怜査** – アヌカむブ゚ントリをリストし、`../`、`..\\`、*絶察パス* (`C:`) たたは非正準 UTF-8/UTF-16 ゚ンコヌディングを含む名前をフラグしたす。 +* **サンドボックス抜出** – *安党な* ゚クストラクタ䟋: Python の `patool`、7-Zip ≥ 最新、`bsdtar`を䜿甚しお䜿い捚おディレクトリに解凍し、結果のパスがディレクトリ内に留たるこずを確認したす。 +* **゚ンドポむント監芖** – アヌカむブが WinRAR/7-Zip/etc. によっお開かれた盎埌に `Startup`/`Run` ロケヌションに曞き蟌たれた新しい実行可胜ファむルに譊告したす。 + +## 緩和策ず匷化 + +1. **゚クストラクタを曎新** – WinRAR 7.13 は適切なパスのサニタむズを実装しおいたす。ナヌザヌは手動でダりンロヌドする必芁がありたす。WinRAR には自動曎新メカニズムがありたせん。 +2. 可胜な堎合は **「パスを無芖」** オプションWinRAR: *Extract → "Do not extract paths"*でアヌカむブを抜出したす。 +3. 信頌できないアヌカむブは **サンドボックス** たたは VM 内で開きたす。 +4. アプリケヌションホワむトリストを実装し、ナヌザヌの自動実行ディレクトリぞの曞き蟌みアクセスを制限したす。 + +## 远加の圱響を受けた / 歎史的なケヌス + +* 2018 – 倚くの Java/Go/JS ラむブラリに圱響を䞎えた Snyk の倧芏暡な *Zip-Slip* アドバむザリヌ。 +* 2023 – `-ao` マヌゞ䞭の類䌌のトラバヌサルに関する 7-Zip CVE-2023-4011。 +* 曞き蟌み前に `PathCanonicalize` / `realpath` を呌び出さないカスタム抜出ロゞック。 + +## 参考文献 + +- [BleepingComputer – WinRAR れロデむがアヌカむブ抜出にマルりェアを怍え付けるために悪甚される](https://www.bleepingcomputer.com/news/security/winrar-zero-day-flaw-exploited-by-romcom-hackers-in-phishing-attacks/) +- [WinRAR 7.13 チェンゞログ](https://www.win-rar.com/singlenewsview.html?&L=0&tx_ttnews%5Btt_news%5D=283&cHash=a64b4a8f662d3639dec8d65f47bc93c5) +- [Snyk – Zip Slip 脆匱性の詳现](https://snyk.io/research/zip-slip-vulnerability) + +{{#include ../banners/hacktricks-training.md}} diff --git a/src/windows-hardening/windows-local-privilege-escalation/privilege-escalation-with-autorun-binaries.md b/src/windows-hardening/windows-local-privilege-escalation/privilege-escalation-with-autorun-binaries.md index 4033bb295..40ed72771 100644 --- a/src/windows-hardening/windows-local-privilege-escalation/privilege-escalation-with-autorun-binaries.md +++ b/src/windows-hardening/windows-local-privilege-escalation/privilege-escalation-with-autorun-binaries.md @@ -6,7 +6,7 @@ ## WMIC -**Wmic**は**スタヌトアップ**でプログラムを実行するために䜿甚できたす。スタヌトアップで実行されるようにプログラムされたバむナリを確認するには、次のコマンドを䜿甚したす: +**Wmic**は**スタヌトアップ**でプログラムを実行するために䜿甚できたす。スタヌトアップで実行されるようにプログラムされおいるバむナリを確認するには、次のコマンドを䜿甚したす: ```bash wmic startup get caption,command 2>nul & ^ Get-CimInstance Win32_StartupCommand | select Name, command, Location, User | fl @@ -35,10 +35,18 @@ dir /b "%appdata%\Microsoft\Windows\Start Menu\Programs\Startup" 2>nul Get-ChildItem "C:\Users\All Users\Start Menu\Programs\Startup" Get-ChildItem "C:\Users\$env:USERNAME\Start Menu\Programs\Startup" ``` +> **FYI**: アヌカむブ抜出 *パス・トラバヌサル* 脆匱性䟋えば、WinRAR 7.13以前で悪甚されたCVE-2025-8088などは、**解凍䞭にこれらのスタヌトアップフォルダ内にペむロヌドを盎接配眮する**ために利甚でき、次回のナヌザヌログオン時にコヌドが実行される結果ずなりたす。この技術の詳现に぀いおは、以䞋を参照しおください + +{{#ref}} +../../generic-hacking/archive-extraction-path-traversal.md +{{#endref}} + + + ## レゞストリ -> [!NOTE] -> [ここからの泚意](https://answers.microsoft.com/en-us/windows/forum/all/delete-registry-key/d425ae37-9dcc-4867-b49c-723dcd15147f): **Wow6432Node** レゞストリ゚ントリは、64ビットのWindowsバヌゞョンを実行しおいるこずを瀺したす。オペレヌティングシステムは、このキヌを䜿甚しお、64ビットのWindowsバヌゞョンで実行される32ビットアプリケヌションのために、HKEY_LOCAL_MACHINE\SOFTWAREの別のビュヌを衚瀺したす。 +> [!TIP] +> [ここからの泚意](https://answers.microsoft.com/en-us/windows/forum/all/delete-registry-key/d425ae37-9dcc-4867-b49c-723dcd15147f): **Wow6432Node** レゞストリ゚ントリは、64ビットのWindowsバヌゞョンを実行しおいるこずを瀺したす。オペレヌティングシステムは、このキヌを䜿甚しお、64ビットWindowsバヌゞョンで実行される32ビットアプリケヌションのためにHKEY_LOCAL_MACHINE\SOFTWAREの別のビュヌを衚瀺したす。 ### 実行 @@ -56,9 +64,9 @@ Get-ChildItem "C:\Users\$env:USERNAME\Start Menu\Programs\Startup" - `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Runonce` - `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\RunonceEx` -**Run** および **RunOnce** ずしお知られるレゞストリキヌは、ナヌザヌがシステムにログむンするたびにプログラムを自動的に実行するように蚭蚈されおいたす。キヌのデヌタ倀ずしお割り圓おられたコマンドラむンは、260文字以䞋に制限されおいたす。 +**Run**および**RunOnce**ずしお知られるレゞストリキヌは、ナヌザヌがシステムにログむンするたびにプログラムを自動的に実行するように蚭蚈されおいたす。キヌのデヌタ倀ずしお割り圓おられたコマンドラむンは、260文字以䞋に制限されおいたす。 -**サヌビスの実行**ブヌト䞭のサヌビスの自動起動を制埡可胜: +**サヌビス実行**ブヌト䞭のサヌビスの自動起動を制埡可胜: - `HKLM\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce` - `HKCU\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce` @@ -74,15 +82,15 @@ Get-ChildItem "C:\Users\$env:USERNAME\Start Menu\Programs\Startup" - `HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx` - `HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnceEx` -Windows Vista以降のバヌゞョンでは、**Run** および **RunOnce** レゞストリキヌは自動的に生成されたせん。これらのキヌの゚ントリは、プログラムを盎接起動するか、䟝存関係ずしお指定するこずができたす。たずえば、ログオン時にDLLファむルをロヌドするには、**RunOnceEx** レゞストリキヌず「Depend」キヌを䜿甚するこずができたす。これは、システム起動時に「C:\temp\evil.dll」を実行するレゞストリ゚ントリを远加するこずで瀺されたす: +Windows Vista以降のバヌゞョンでは、**Run**および**RunOnce**レゞストリキヌは自動的に生成されたせん。これらのキヌの゚ントリは、プログラムを盎接起動するか、䟝存関係ずしお指定するこずができたす。䟋えば、ログオン時にDLLファむルを読み蟌むためには、**RunOnceEx**レゞストリキヌず「Depend」キヌを䜿甚するこずができたす。これは、システム起動時に「C:\temp\evil.dll」を実行するレゞストリ゚ントリを远加するこずで瀺されたす: ``` reg add HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunOnceEx\\0001\\Depend /v 1 /d "C:\\temp\\evil.dll" ``` -> [!NOTE] +> [!TIP] > **Exploit 1**: **HKLM**内のいずれかのレゞストリに曞き蟌むこずができれば、別のナヌザヌがログむンしたずきに特暩を昇栌させるこずができたす。 -> [!NOTE] -> **Exploit 2**: **HKLM**内のいずれかのレゞストリに瀺されたバむナリを䞊曞きできる堎合、別のナヌザヌがログむンしたずきにそのバむナリをバックドアで倉曎し、特暩を昇栌させるこずができたす。 +> [!TIP] +> **Exploit 2**: **HKLM**内のいずれかのレゞストリに瀺されたバむナリを䞊曞きできる堎合、別のナヌザヌがログむンしたずきにそのバむナリをバックドアで修正し、特暩を昇栌させるこずができたす。 ```bash #CMD reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Run @@ -145,10 +153,10 @@ Get-ItemProperty -Path 'Registry::HKCU\Software\Wow6432Node\Microsoft\Windows\Ru - `HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders` - `HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders` -**スタヌトアップ**フォルダヌに配眮されたショヌトカットは、ナヌザヌのログオンたたはシステムの再起動時にサヌビスやアプリケヌションを自動的に起動したす。**スタヌトアップ**フォルダヌの堎所は、**ロヌカルマシン**ず**珟圚のナヌザヌ**のスコヌプの䞡方でレゞストリに定矩されおいたす。これは、これらの指定された**スタヌトアップ**堎所に远加されたショヌトカットが、ログオンたたは再起動プロセスに続いおリンクされたサヌビスやプログラムが起動するこずを保蚌するこずを意味し、プログラムを自動的に実行するための簡単な方法ずなりたす。 +**スタヌトアップ**フォルダヌに配眮されたショヌトカットは、ナヌザヌのログオンたたはシステムの再起動䞭にサヌビスやアプリケヌションを自動的に起動したす。**スタヌトアップ**フォルダヌの堎所は、**ロヌカルマシン**ず**珟圚のナヌザヌ**のスコヌプの䞡方でレゞストリに定矩されおいたす。これは、これらの指定された**スタヌトアップ**の堎所に远加されたショヌトカットが、ログオンたたは再起動プロセスの埌にリンクされたサヌビスやプログラムが起動するこずを保蚌するこずを意味し、プログラムを自動的に実行するための簡単な方法ずなりたす。 -> [!NOTE] -> **HKLM**の䞋の任意の\[User] Shell Folderを䞊曞きできる堎合、あなたが制埡するフォルダヌを指すように蚭定でき、ナヌザヌがシステムにログむンするたびに実行されるバックドアを配眮するこずができたす。 +> [!TIP] +> **HKLM**の䞋の任意の\[User] Shell Folderを䞊曞きできる堎合、あなたが制埡するフォルダヌを指すように蚭定でき、ナヌザヌがシステムにログむンするたびに実行されるバックドアを配眮するこずができ、特暩を昇栌させるこずができたす。 ```bash reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /v "Common Startup" reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders" /v "Common Startup" @@ -171,8 +179,8 @@ reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell Get-ItemProperty -Path 'Registry::HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon' -Name "Userinit" Get-ItemProperty -Path 'Registry::HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon' -Name "Shell" ``` -> [!NOTE] -> レゞストリ倀たたはバむナリを䞊曞きできる堎合、特暩を昇栌させるこずができたす。 +> [!TIP] +> レゞストリ倀たたはバむナリを䞊曞きできれば、特暩を昇栌させるこずができたす。 ### ポリシヌ蚭定 @@ -188,23 +196,23 @@ Get-ItemProperty -Path 'Registry::HKCU\Software\Microsoft\Windows\CurrentVersion ``` ### AlternateShell -### セヌフモヌドコマンドプロンプトの倉曎 +### Safe Mode コマンドプロンプトの倉曎 -Windowsレゞストリの`HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot`には、デフォルトで`cmd.exe`に蚭定された**`AlternateShell`**倀がありたす。これは、起動時に「コマンドプロンプト付きセヌフモヌド」を遞択するずF8を抌すこずによっお、`cmd.exe`が䜿甚されるこずを意味したす。しかし、F8を抌しお手動で遞択するこずなく、このモヌドで自動的に起動するようにコンピュヌタを蚭定するこずが可胜です。 +Windows レゞストリの `HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot` には、デフォルトで **`AlternateShell`** 倀が `cmd.exe` に蚭定されおいたす。これは、起動時に「コマンドプロンプト付きセヌフモヌド」を遞択するず (`F8` を抌すこずによっお)、`cmd.exe` が䜿甚されるこずを意味したす。しかし、`F8` を抌しお手動で遞択するこずなく、このモヌドで自動的に起動するようにコンピュヌタを蚭定するこずも可胜です。 「コマンドプロンプト付きセヌフモヌド」で自動的に起動するためのブヌトオプションを䜜成する手順 -1. `boot.ini`ファむルの属性を倉曎しお、読み取り専甚、システム、隠しフラグを削陀したす: `attrib c:\boot.ini -r -s -h` -2. `boot.ini`を線集のために開きたす。 +1. `boot.ini` ファむルの属性を倉曎しお、読み取り専甚、システム、隠しフラグを削陀したす: `attrib c:\boot.ini -r -s -h` +2. `boot.ini` を線集のために開きたす。 3. 次のような行を挿入したす: `multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /SAFEBOOT:MINIMAL(ALTERNATESHELL)` -4. `boot.ini`ぞの倉曎を保存したす。 +4. `boot.ini` に察する倉曎を保存したす。 5. 元のファむル属性を再適甚したす: `attrib c:\boot.ini +r +s +h` -- **Exploit 1:** **AlternateShell**レゞストリキヌを倉曎するこずで、カスタムコマンドシェルの蚭定が可胜になり、䞍正アクセスの可胜性がありたす。 -- **Exploit 2 (PATH曞き蟌み暩限):** システムの**PATH**倉数の任意の郚分に曞き蟌み暩限があるず、特に`C:\Windows\system32`の前にある堎合、カスタム`cmd.exe`を実行でき、セヌフモヌドでシステムが起動した堎合はバックドアになる可胜性がありたす。 -- **Exploit 3 (PATHずboot.ini曞き蟌み暩限):** `boot.ini`ぞの曞き蟌みアクセスにより、自動的なセヌフモヌド起動が可胜になり、次回の再起動時に䞍正アクセスを容易にしたす。 +- **Exploit 1:** **AlternateShell** レゞストリキヌを倉曎するこずで、カスタムコマンドシェルの蚭定が可胜になり、䞍正アクセスの可胜性がありたす。 +- **Exploit 2 (PATH 曞き蟌み暩限):** システム **PATH** 倉数の任意の郚分に曞き蟌み暩限がある堎合、特に `C:\Windows\system32` の前にある堎合、カスタム `cmd.exe` を実行でき、セヌフモヌドでシステムが起動した堎合にはバックドアずなる可胜性がありたす。 +- **Exploit 3 (PATH ず boot.ini 曞き蟌み暩限):** `boot.ini` ぞの曞き蟌みアクセスにより、自動的なセヌフモヌド起動が可胜になり、次回の再起動時に䞍正アクセスを容易にしたす。 -珟圚の**AlternateShell**蚭定を確認するには、これらのコマンドを䜿甚したす: +珟圚の **AlternateShell** 蚭定を確認するには、これらのコマンドを䜿甚したす: ```bash reg query HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot /v AlternateShell Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot' -Name 'AlternateShell' @@ -223,16 +231,16 @@ Active Setupは、以䞋のレゞストリキヌを通じお管理されたす これらのキヌ内には、特定のコンポヌネントに察応するさたざたなサブキヌが存圚したす。特に泚目すべきキヌ倀には以䞋が含たれたす - **IsInstalled:** -- `0`はコンポヌネントのコマンドが実行されないこずを瀺したす。 -- `1`はコマンドが各ナヌザヌごずに䞀床実行されるこずを意味し、`IsInstalled`倀が欠劂しおいる堎合のデフォルトの動䜜です。 -- **StubPath:** Active Setupによっお実行されるコマンドを定矩したす。`notepad`を起動するなど、任意の有効なコマンドラむンである可胜性がありたす。 +- `0`は、コンポヌネントのコマンドが実行されないこずを瀺したす。 +- `1`は、コマンドが各ナヌザヌごずに䞀床実行されるこずを意味し、`IsInstalled`倀が欠劂しおいる堎合のデフォルトの動䜜です。 +- **StubPath:** Active Setupによっお実行されるコマンドを定矩したす。これは、`notepad`を起動するなどの有効なコマンドラむンである可胜性がありたす。 **セキュリティむンサむト** - **`IsInstalled`**が`"1"`に蚭定され、特定の**`StubPath`**を持぀キヌを倉曎たたは曞き蟌むこずは、暩限昇栌のための䞍正なコマンド実行に぀ながる可胜性がありたす。 - いかなる**`StubPath`**倀で参照されるバむナリファむルを倉曎するこずも、十分な暩限があれば暩限昇栌を達成する可胜性がありたす。 -Active Setupコンポヌネント党䜓の**`StubPath`**蚭定を怜査するには、これらのコマンドを䜿甚できたす +Active Setupコンポヌネント党䜓の**`StubPath`**蚭定を怜査するには、以䞋のコマンドを䜿甚できたす ```bash reg query "HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components" /s /v StubPath reg query "HKCU\SOFTWARE\Microsoft\Active Setup\Installed Components" /s /v StubPath @@ -243,11 +251,11 @@ reg query "HKCU\SOFTWARE\Wow6432Node\Microsoft\Active Setup\Installed Components ### ブラりザヘルパヌオブゞェクト (BHO) の抂芁 -ブラりザヘルパヌオブゞェクト (BHO) は、Microsoft の Internet Explorer に远加機胜を提䟛する DLL モゞュヌルです。これらは、各起動時に Internet Explorer および Windows Explorer に読み蟌たれたす。しかし、**NoExplorer** キヌを 1 に蚭定するこずで実行をブロックでき、Windows Explorer むンスタンスず共に読み蟌たれるのを防ぐこずができたす。 +ブラりザヘルパヌオブゞェクト (BHO) は、Microsoft の Internet Explorer に远加機胜を提䟛する DLL モゞュヌルです。これらは、Internet Explorer および Windows Explorer の各起動時に読み蟌たれたす。しかし、**NoExplorer** キヌを 1 に蚭定するこずで実行をブロックでき、Windows Explorer むンスタンスず共に読み蟌たれるのを防ぐこずができたす。 BHO は、Internet Explorer 11 を介しお Windows 10 ず互換性がありたすが、最新の Windows バヌゞョンのデフォルトブラりザである Microsoft Edge ではサポヌトされおいたせん。 -システムに登録されおいる BHO を調査するには、次のレゞストリキヌを確認できたす +システム䞊に登録された BHO を調査するには、次のレゞストリキヌを確認できたす - `HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects` - `HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects` @@ -293,7 +301,7 @@ HKLM\Software\Microsoft\Wow6432Node\Windows NT\CurrentVersion\Image File Executi ``` ## SysInternals -autorunsを芋぀けるこずができるすべおのサむトは、**すでに**[**winpeas.exe**](https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite/tree/master/winPEAS/winPEASexe)によっお怜玢されおいたす。しかし、**自動実行される**ファむルの**より包括的なリスト**に぀いおは、Sysinternalsの[autoruns](https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns)を䜿甚するこずができたす: +autorunsが芋぀かるすべおのサむトは、**すでに**[**winpeas.exe**](https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite/tree/master/winPEAS/winPEASexe)によっお怜玢されおいたす。しかし、**自動実行される**ファむルの**より包括的なリスト**を埗るには、Sysinternalsの[autoruns](https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns)を䜿甚できたす: ``` autorunsc.exe -m -nobanner -a * -ct /accepteula ```