| 注册表位置 | HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\<程序名> |
|---|---|
| 利用点 | Debugger / SilentProcessExit / GlobalFlag |
| 典型手法 | 给 taskmgr.exe、杀软进程挂 Debugger |
| 快速判断 | 子键只要含 Debugger 就逐个核对 |
列出所有含 Debugger 的 IFEO 子键
列出所有含 Debugger 的 IFEO 子键
$p = 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options'
Get-ChildItem $p | ForEach-Object { $d = Get-ItemProperty $_.PSPath; if ($d.Debugger) { '{0} -> {1}' -f $_.PSChildName, $d.Debugger } }杀软进程被杀后启动又秒退，优先查 IFEO：Debugger 指向自建目录或 svchost 都属高可疑。