Windows任务计划COM Handler在权限维持中的应用 - 教学文档<\/h1>

0x1 前言<\/h2>
Windows任务计划COM Handler是一种特殊的任务计划动作类型，在先知社区中相关技术文章较少。本文将从技术原理、实现方法和实战应用三个维度，详细讲解COM Handler在权限维持中的具体应用。<\/p>

0x2 COM Handler技术原理<\/h2>

2.1 基本概念<\/h3>
COM Handler是Windows任务计划程序中一种特殊的动作类型，与传统"启动程序"或"发送电子邮件"不同，它允许任务计划程序调用注册在系统中的COM对象来执行特定逻辑。<\/p>

2.2 工作机制<\/h3>

任务触发时，任务计划程序不会启动新的exe进程<\/li>
而是加载指定的dll文件并在任务计划程序进程(taskhostw.exe)中运行代码<\/li>

通过COM运行时机制实现dll的加载和执行<\/li> <\/ul>

2.3 界面表现<\/h3>

无法通过任务计划GUI或CLI直接指定COM Handler动作<\/li>
必须通过导入xml文件或调用任务计划API创建<\/li>

创建后动作显示为"Custom Handler"<\/li> <\/ul>

0x3 COM Handler的滥用优势<\/h2>

3.1 执行方式多样性<\/h3>

多种注册方式：<\/strong><\/p>

通过reg add或reg import命令<\/li>
通过注册表API编程实现<\/li>
通过INF文件方式（利用SetupAPI.dll白文件）<\/li>
劫持已注册的COM Handler（修改注册表指向恶意dll）<\/li> <\/ul>
任务计划配置灵活性：<\/strong><\/p>

劫持已有任务计划（修改配置文件中的CLSID）<\/li>
将COM Handler设置为第二个动作<\/li>
不同AV\/EDR检测侧重点不同，增加绕过概率<\/li> <\/ul>
3.2 进程链隐蔽性<\/h3>
传统任务计划进程链：<\/strong><\/p>
svchost.exe -k netsvcs -p -s Schedule └── cmd.exe\/powershell.exe（可疑子进程） <\/code><\/pre> COM Handler进程链：<\/strong><\/p> svchost.exe -k netsvcs -p -s Schedule └── dllhost.exe \/Processid:{CLSID}（正常系统进程） <\/code><\/pre> 优势：dllhost.exe是系统正常进程，命令行参数为CLSID格式，难以被判定为可疑操作。<\/p> 3.3 参数隐蔽性<\/h3> 传统恶意软件：命令行参数容易被检测（如mimikatz特征参数）<\/li> COM Handler：传递CLSID参数，形式合法难以检测<\/li> <\/ul> 0x4 COM Handler权限维持实战<\/h2> 4.1 技术实现逻辑<\/h3> 任务触发时，任务计划程序（COM客户端）从配置文件获取CLSID<\/li> COM运行时根据CLSID查询注册表获取DLL位置<\/li> DLL被载入内存，调用DllGetClassObject函数<\/li> 创建类工厂对象，通过类工厂创建TaskHandler对象<\/li> 调用TaskHandler的Start方法执行恶意代码<\/li> <\/ol> 4.2 开发COM服务端DLL<\/h3> 文件结构：<\/strong><\/p> - Source.def # 导出函数声明 - dllmain.cpp # 主DLL文件 - ClassFactory.hpp # 类工厂头文件 - ClassFactory.cpp # 类工厂实现 - TaskHandler.hpp # 任务处理器头文件 - TaskHandler.cpp # 任务处理器实现 <\/code><\/pre> 核心代码要点：<\/strong><\/p> Source.def：<\/strong><\/p> EXPORTS <\/span><\/span> DllGetClassObject PRIVATE <\/span><\/span> DllCanUnloadNow PRIVATE <\/span><\/span><\/code><\/pre>dllmain.cpp关键函数：<\/strong><\/p> DllGetClassObject<\/code>: COM标准入口函数，创建类工厂<\/li> DllCanUnloadNow<\/code>: 检查DLL是否可以卸载<\/li> <\/ul> ClassFactory核心功能：<\/strong><\/p> 实现IClassFactory接口<\/li> 创建TaskHandler实例<\/li> <\/ul> TaskHandler核心功能：<\/strong><\/p> 实现ITaskHandler接口<\/li> 在Start方法中执行恶意代码逻辑<\/li> <\/ul> 4.3 COM服务端注册<\/h3> 注册表项创建（HKCU下操作，无需管理员权限）：<\/strong><\/p> HKEY_CURRENT_USER\Software\Classes\CLSID\{CLSID} HKEY_CURRENT_USER\Software\Classes\CLSID\{CLSID}\InProcServer32 (Default) = "C:\Path\To\Malicious.dll" ThreadingModel = "Both" <\/code><\/pre> 具体注册表操作：<\/strong><\/p> reg add "HKCU\Software\Classes\CLSID\{6B9279D0-D220-4288-AFDF-E424F558FEF2}"<\/span> \/f <\/span><\/span>reg add "HKCU\Software\Classes\CLSID\{6B9279D0-D220-4288-AFDF-E424F558FEF2}\InProcServer32"<\/span> \/ve \/d "C:\Users\admin\Desktop\test\comhandler.dat"<\/span> \/f <\/span><\/span>reg add "HKCU\Software\Classes\CLSID\{6B9279D0-D220-4288-AFDF-E424F558FEF2}\InProcServer32"<\/span> \/v "ThreadingModel"<\/span> \/d "Both"<\/span> \/f <\/span><\/span><\/code><\/pre>4.4 任务计划创建<\/h3> XML配置文件示例：<\/strong><\/p> <?xml version="1.0" encoding="UTF-16"?><\/span> <\/span><\/span><Task<\/span> version=<\/span>"1.2"<\/span> xmlns=<\/span>"http:\/\/schemas.microsoft.com\/windows\/2004\/02\/mit\/task"<\/span>><\/span> <\/span><\/span> <RegistrationInfo><\/span> <\/span><\/span> <Description><\/span>Sample Task<\/Description><\/span> <\/span><\/span> <\/RegistrationInfo><\/span> <\/span><\/span> <Triggers><\/span> <\/span><\/span> <RegistrationTrigger><\/span> <\/span><\/span> <Enabled><\/span>true<\/Enabled><\/span> <\/span><\/span> <\/RegistrationTrigger><\/span> <\/span><\/span> <CalendarTrigger><\/span> <\/span><\/span> <StartBoundary><\/span>2026-01-18T17:37:00<\/StartBoundary><\/span> <\/span><\/span> <Enabled><\/span>true<\/Enabled><\/span> <\/span><\/span> <ScheduleByWeek><\/span> <\/span><\/span> <DaysOfWeek><\/span>Monday<\/DaysOfWeek><\/span> <\/span><\/span> <WeeksInterval><\/span>1<\/WeeksInterval><\/span> <\/span><\/span> <\/ScheduleByWeek><\/span> <\/span><\/span> <\/CalendarTrigger><\/span> <\/span><\/span> <\/Triggers><\/span> <\/span><\/span> <Actions<\/span> Context=<\/span>"Author"<\/span>><\/span> <\/span><\/span> <ComHandler><\/span> <\/span><\/span> <ClassId><\/span>{6B9279D0-D220-4288-AFDF-E424F558FEF2}<\/ClassId><\/span> <\/span><\/span> <\/ComHandler><\/span> <\/span><\/span> <\/Actions><\/span> <\/span><\/span><\/Task><\/span> <\/span><\/span><\/code><\/pre>创建命令：<\/strong><\/p> schtasks \/create \/xml task.xml \/tn "TestTask"<\/span> <\/span><\/span><\/code><\/pre>4.5 实战工具推荐<\/h3> CS-Remote-OPs-BOF<\/strong>: 提供reg_set和schtaskscreate等BOF文件<\/li> 支持远程注册表操作和任务计划创建<\/li> 适合红队实战环境使用<\/li> <\/ul> 0x5 检测与防御<\/h2> 5.1 检测方法<\/h3> 检查任务计划XML<\/strong>：获取CLSID信息<\/li> 查询注册表<\/strong>：根据CLSID查找对应DLL路径<\/li> 文件分析<\/strong>：检查DLL文件是否恶意<\/li> <\/ol> 检测命令示例：<\/strong><\/p> # 导出任务计划配置 <\/span><\/span>schtasks \/query \/tn "TaskName"<\/span> \/xml <\/span><\/span> <\/span><\/span># 查询注册表CLSID <\/span><\/span>reg query "HKCR\CLSID\{CLSID}"<\/span> \/s <\/span><\/span><\/code><\/pre>5.2 防御建议<\/h3> 监控任务计划创建和修改操作<\/li> 检查COM Handler相关注册表项变更<\/li> 对dllhost.exe进程进行行为监控<\/li> 建立CLSID白名单机制<\/li> <\/ul> 0x6 总结<\/h2> Windows任务计划COM Handler为攻击者提供了高度隐蔽的权限维持手段，其优势主要体现在执行方式多样、进程链干净、参数隐蔽三个方面。防御方需要从任务计划配置、注册表监控、进程行为分析等多个维度建立检测和防御体系。<\/p> 技术特点总结：<\/strong><\/p> 原生免杀：利用系统合法机制<\/li> 进程注入：DLL在系统进程中运行<\/li> 隐蔽性强：难以通过传统检测手段发现<\/li> 权限要求低：HKCU下操作无需管理员权限<\/li> <\/ul> 此技术适合高级红队行动中使用，蓝队需要加强对此类技术的检测和防御能力建设。<\/p>

Windows任务计划COM Handler在权限维持中的应用 - 教学文档<\/h1>

0x1 前言<\/h2> Windows任务计划COM Handler是一种特殊的任务计划动作类型，在先知社区中相关技术文章较少。本文将从技术原理、实现方法和实战应用三个维度，详细讲解COM Handler在权限维持中的具体应用。<\/p>

0x2 COM Handler技术原理<\/h2>

2.1 基本概念<\/h3> COM Handler是Windows任务计划程序中一种特殊的动作类型，与传统"启动程序"或"发送电子邮件"不同，它允许任务计划程序调用注册在系统中的COM对象来执行特定逻辑。<\/p>

0x3 COM Handler的滥用优势<\/h2>

0x4 COM Handler权限维持实战<\/h2>

0x5 检测与防御<\/h2>

0x1 前言<\/h2>
Windows任务计划COM Handler是一种特殊的任务计划动作类型，在先知社区中相关技术文章较少。本文将从技术原理、实现方法和实战应用三个维度，详细讲解COM Handler在权限维持中的具体应用。<\/p>

2.1 基本概念<\/h3>
COM Handler是Windows任务计划程序中一种特殊的动作类型，与传统"启动程序"或"发送电子邮件"不同，它允许任务计划程序调用注册在系统中的COM对象来执行特定逻辑。<\/p>