用户开机后每次运行特定的快捷方式文件时触发一段恶意的powershell 代码，原始应用程序仍然启动，原始图标保留，并且没有powershell.exe窗口弹出。
1、安装后门
这次需要用到powershell攻击框架Empire，使用Empire/data/module_source/persistence/Invoke-BackdoorLNK.ps1这个脚本
-LNKPath是要利用的lnk的路径，每次打开这个lnk文件时都会执行原始的应用程序和 -EncScript后面的恶意powershell代码
先通过empire生成反弹的powershell代码
./empire 进入empire
输入listeners 进入监听界面 设置好ip与端口
launcher 1 生成power shell代码
这里我们只复制 -Enc 后面的代码
然后执行
看到以上界面就代表后门安装完成
当我们运行navicat快捷方式的同时 可以看到powershell.exe已经悄悄的链接empire
2、实现原理
它会将原来快捷目标修改为powershell.exe的地址，并且利用powershell去运行navicat程序与恶意代码。
解密后的代码
点击快捷方式后先执行快捷方式原来链接的目标，然后在注册表读取HKCU:SoftwareMicrosoftWindowsdebug的值运行（后门安装时把执行的代码加密后放到了HKCU:SoftwareMicrosoftWindowsdebug里面）
3、后门的清除
执行 以下命令清除后门
4、总结
利用快捷方式去攻击，已经是一个很老的话题了，但是有时候渗透中添加启动项/服务/任务计划失败的情况下可以尝试用此方法，劫持一个经常使用的程序快捷方式，达到权限维持的效果，windows下基于powershell的攻击方式也会越来越强大。
参考文献：github，文章相关请联系qq：195062545
