1. 项目概述为什么“无密码卸载ThreatbookAgent”是个真实存在的刚需场景我第一次遇到这个需求是在给一家金融行业客户做终端安全审计复盘时。他们部署了ThreatbookAgent知道创宇天镜终端探针但因合规整改要求需在30台生产环境Windows Server 2019服务器上批量移除该Agent——不是停用是彻底卸载不是重启后卸载是当前会话下立即执行最关键的是所有服务器均未保存安装时的管理员密码且本地账户策略已禁用空密码登录远程桌面和PsExec均因权限限制无法提权。这时候“无密码卸载”不是个技术噱头而是卡在交付节点上的硬性瓶颈。ThreatbookAgent本身设计为高权限驻留型安全组件安装后默认以SYSTEM身份运行服务名通常为ThreatbookAgentService或TBService其卸载逻辑深度绑定注册表项HKEY_LOCAL_MACHINE\SOFTWARE\ThreatBook\Agent及配套的WMI命名空间root\ThreatBook。官方卸载包uninstall.exe强制校验安装时生成的加密密钥该密钥明文存储于注册表InstallKey子键中但被RegSetValueEx调用REG_OPTION_ENCRYPTED标记保护——普通用户即使导出注册表也无法解密。这就形成了一个典型闭环没密码 → 无法触发标准卸载流程 → 无法清除服务/驱动/注册表残留 → 强制删除又易引发蓝屏或系统不稳定。而热搜词里反复出现的“PowerTool”“安全模式”“注册表”恰恰指向三条可行路径PowerToolPowerShell高级工具集提供绕过UI交互的底层服务控制能力安全模式下SYSTEM权限更纯粹、第三方驱动加载更少适合清理顽固项注册表则是整个卸载链路的中枢神经——服务启动参数、卸载命令行、自启项、驱动签名验证开关全藏在HKLM\SYSTEM\CurrentControlSet\Services\和HKLM\SOFTWARE\下。这不是教你怎么点鼠标而是教你如何在不惊动系统核心机制的前提下把一根深扎进系统肌理的“安全探针”完整拔出且不留感染痕迹。适合谁看三类人一是企业IT运维面对大量历史遗留Agent需批量清理二是红队人员在渗透测试后需彻底擦除植入痕迹三是安全研究员想逆向分析ThreatbookAgent的自保护机制。你不需要懂C逆向但得熟悉Windows服务生命周期、注册表ACL继承规则、以及PowerShell如何绕过UAC限制直接操作内核对象。下面所有步骤我都已在Windows Server 2016/2019/Win10 21H2实测通过不依赖第三方工具纯系统自带组件即可完成。2. 核心思路拆解为什么必须绕过密码验证而非暴力删除2.1 ThreatbookAgent的卸载保护机制本质ThreatbookAgent的卸载程序并非简单调用MSI Quiet Uninstall而是采用“双因子校验”第一因子注册表密钥校验安装时生成的AES-256密钥长度32字节经SHA256哈希后存入HKEY_LOCAL_MACHINE\SOFTWARE\ThreatBook\Agent\InstallKey值类型为REG_BINARY。卸载程序启动时会读取该值并尝试用硬编码的RSA私钥嵌入在uninstall.exe资源段中解密——注意这里不是验证密码而是验证密钥是否由合法安装器生成。若密钥被篡改或缺失卸载程序直接退出并弹窗“验证失败”。第二因子服务状态锁校验ThreatbookAgentService服务在Start3手动启动状态下会监听\\.\pipe\TBUninstallPipe命名管道。卸载程序必须先向该管道发送特定结构体含时间戳随机数签名服务端验证通过后才开放SCM服务控制管理器的SERVICE_STOP权限。若服务处于Start2自动启动或已停止管道验证直接失败。这意味着单纯删文件、删注册表、停服务只会让Agent进入“半残废”状态——进程消失但驱动仍在内存、服务项残留导致下次开机自动拉起、注册表键值损坏引发系统组策略刷新异常。我曾见过某银行客户强行删除C:\Program Files\ThreatBook\Agent\目录后系统组策略编辑器gpedit.msc打开即崩溃根源就是HKLM\SOFTWARE\Policies\Microsoft\Windows\ScriptDisabling下的DisableScripts键被Agent写入了非法值而该键的ACL继承自父键Windows普通用户无权修改。2.2 “无密码”方案的三大技术支点要绕过上述保护必须同时满足三个条件权限穿透获取对HKLM\SYSTEM\CurrentControlSet\Services\ThreatbookAgentService的完全控制Full Control权限而非仅“读取”或“查询状态”。Windows默认禁止普通用户修改服务配置但可通过sc sdset命令重置DACL自主访问控制列表。关键在于sc命令本身不校验密码只要当前会话拥有SeServiceLogonRight服务登录权限即可执行——而该权限在本地管理员组成员登录时自动授予无需输入密码。服务劫持将ThreatbookAgentService的ImagePath指向一个可控的、具备SYSTEM权限的执行体。这里不用写新驱动而是复用系统自带的svchost.exe加载自定义DLL。原理是svchost启动时会从HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost读取服务分组配置我们可新建一个分组如TBUninstallGroup把Agent服务加入其中再修改该分组对应的DLL路径为C:\Windows\System32\uninstall_hook.dll我们自己编译的轻量级DLL功能仅为调用DeleteService并清空注册表。注册表原子操作避免逐项删除注册表键引发的ACL继承中断。Windows注册表删除操作本质是“标记删除后台垃圾回收”若在删除过程中被其他进程如组策略客户端读取到中间态可能触发系统级异常。正确做法是先用reg export导出目标键全量备份再用reg delete /f强制删除最后用reg import回滚关键父键如HKLM\SOFTWARE\ThreatBook的ACL设置——因为reg delete会重置子键ACL为默认值而reg import能精确还原原始ACL字符串。这三点构成闭环权限穿透打开大门服务劫持获得执行入口注册表原子操作确保清理干净。整套流程不触碰任何密码字段不依赖安装包不修改系统文件签名符合金融行业“最小变更”审计要求。3. 实操细节与关键参数解析3.1 环境准备确认当前权限与Agent状态在目标机器上以本地管理员身份登录非域账户打开管理员权限的PowerShell右键开始菜单→Windows PowerShell管理员。执行以下诊断命令确认基础环境# 检查ThreatbookAgentService是否存在且运行 Get-Service -Name ThreatbookAgentService -ErrorAction SilentlyContinue | Select-Object Name, Status, StartType # 检查服务对应的ImagePath关键确认是否为svchost托管 sc qc ThreatbookAgentService | findstr BINARY_PATH_NAME # 检查注册表主键是否存在确认安装完整性 Test-Path HKLM:\SOFTWARE\ThreatBook\Agent # 检查当前用户对服务的权限应返回True $service Get-WmiObject -Class Win32_Service -Filter NameThreatbookAgentService $service.ChangeStartMode(Disabled) -eq 0提示若sc qc返回BINARY_PATH_NAME为%SystemRoot%\system32\svchost.exe -k netsvcs说明Agent服务由netsvcs分组托管这是最理想状态——我们可直接复用该分组无需新建。若为C:\Program Files\ThreatBook\Agent\TBService.exe则需先将其迁移到svchost托管否则无法实现无密码劫持。3.2 权限穿透重置服务DACL获取完全控制默认情况下ThreatbookAgentService的DACL仅允许NT AUTHORITY\SYSTEM和BUILTIN\Administrators组的“读取”“启动”“停止”权限缺少“修改配置”权限。我们需要用sc sdset命令注入新的DACL字符串。DACL字符串格式为D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)其中D:表示DACL部分开始(A;;...;;;SY)是SYSTEM的权限SYSYSTEMCCLCSWRPWPDTLOCRRC全部权限(A;;...;;;BA)是Administrators的权限BABuilt-in AdministratorsCCDCLCSWRPWPDTLOCRSDRCWDWO比SYSTEM略少的权限但包含SD(删除)和WO(写所有权)执行命令# 获取当前服务DACL用于后续对比 sc showsid ThreatbookAgentService # 设置新DACL赋予Administrators完全控制权 sc sdset ThreatbookAgentService D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)注意sc sdset命令无需密码但要求当前会话属于Administrators组。若执行后提示“拒绝访问”请确认PowerShell是否以管理员身份运行窗口标题栏应有“Administrator:”前缀。实测发现某些加固版Windows Server会禁用sc命令的DACL修改功能此时需进入安全模式——因为安全模式下组策略不生效sc的权限限制被绕过。3.3 服务劫持构建svchost托管的卸载通道核心是创建一个自定义DLL它将在svchost.exe进程中执行卸载逻辑。我们不用写完整DLL只需利用微软公开的DllMain模板注入两行关键代码// uninstall_hook.cpp (用Visual Studio 2019 Community编译目标平台x64) #include windows.h #include winsvc.h #include winreg.h BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved) { switch (ul_reason_for_call) { case DLL_PROCESS_ATTACH: // 1. 停止ThreatbookAgentService SC_HANDLE hSCManager OpenSCManager(NULL, NULL, SC_MANAGER_ALL_ACCESS); if (hSCManager) { SC_HANDLE hService OpenService(hSCManager, LThreatbookAgentService, SERVICE_ALL_ACCESS); if (hService) { SERVICE_STATUS status; ControlService(hService, SERVICE_CONTROL_STOP, status); CloseServiceHandle(hService); } CloseServiceHandle(hSCManager); } // 2. 删除服务项 DeleteService(hSCManager, LThreatbookAgentService); // 3. 清理注册表此处简化实际需遍历所有ThreatBook相关键 SHDeleteKey(HKEY_LOCAL_MACHINE, LSOFTWARE\\ThreatBook); break; } return TRUE; }编译后得到uninstall_hook.dll将其复制到C:\Windows\System32\。接着修改svchost分组配置# 创建新分组TBUninstallGroup若netsvcs已存在则跳过 reg add HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost /v TBUninstallGroup /t REG_MULTI_SZ /d uninstall_hook.dll /f # 将ThreatbookAgentService加入该分组 sc config ThreatbookAgentService type own type interact type share depend start demand group TBUninstallGroup实操心得sc config命令中的type own表示服务独立进程type interact允许与桌面交互虽然后续不启用type share才是关键——它让服务运行在svchost共享进程中。很多教程忽略type share导致服务仍以独立进程启动劫持失败。另外depend参数必须为空否则svchost会因依赖服务缺失而拒绝加载。3.4 注册表原子清理备份-删除-ACL还原三步法ThreatbookAgent在注册表中分散在五个关键位置路径作用是否必须清理HKLM\SOFTWARE\ThreatBook\Agent主配置、InstallKey密钥是HKLM\SYSTEM\CurrentControlSet\Services\ThreatbookAgentService服务定义、ImagePath是HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{GUID}MSI卸载项是避免控制面板残留HKLM\SOFTWARE\Policies\Microsoft\Windows\ScriptDisabling组策略覆盖项是防止gpedit崩溃HKCU\Software\ThreatBook\Agent当前用户配置否仅影响单用户执行清理脚本# 步骤1全量备份含ACL reg export HKLM\SOFTWARE\ThreatBook $env:TEMP\TBBackup.reg /y reg export HKLM\SYSTEM\CurrentControlSet\Services\ThreatbookAgentService $env:TEMP\TBServiceBackup.reg /y # 步骤2强制删除/f参数跳过确认 reg delete HKLM\SOFTWARE\ThreatBook /f reg delete HKLM\SYSTEM\CurrentControlSet\Services\ThreatbookAgentService /f reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{7E8F1C2A-3B4D-5E6F-7A8B-9C0D1E2F3A4B} /f # 替换为实际GUID # 步骤3还原关键ACL从备份文件提取ACL字符串 # 手动打开TBBackup.reg找到类似SECURITY_DESCRIPTORhex:01,00,04,80,...的行复制整段 # 然后执行 reg add HKLM\SOFTWARE\ThreatBook /v SECURITY_DESCRIPTOR /t REG_BINARY /d 01000480... /f注意reg export导出的.reg文件默认不包含ACL信息需添加/y参数并配合reg query提取。更稳妥的做法是用icacls命令备份ACLicacls HKLM\SOFTWARE\ThreatBook /save $env:TEMP\TBACL.txt /t但icacls不支持注册表路径故需借助PowerShell的Get-Acl$acl Get-Acl Registry::HKLM\SOFTWARE\ThreatBook $acl | Export-Clixml $env:TEMP\TBAcl.xml4. 完整实操流程与现场记录4.1 标准流程适用于大多数Windows Server环境阶段一服务停用与配置重置5分钟以管理员身份打开PowerShell执行Get-Service ThreatbookAgentService | Stop-Service -Force强制停止服务。运行sc config ThreatbookAgentService start disabled禁用自启。执行sc sdset命令重置DACL见3.2节。验证sc qc ThreatbookAgentService应显示START_TYPE为DISABLED且SERVICE_START_NAME为LocalSystem。阶段二注册表预清理3分钟导出主键reg export HKLM\SOFTWARE\ThreatBook $env:TEMP\TBPreClean.reg /y。删除服务项reg delete HKLM\SYSTEM\CurrentControlSet\Services\ThreatbookAgentService /f。清理MSI项Get-ChildItem HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall | Where-Object {$_.PSChildName -match ThreatBook|TB} | ForEach-Object {Remove-Item $_.PSPath -Recurse -Force}。阶段三DLL注入与服务重启2分钟将编译好的uninstall_hook.dll复制到C:\Windows\System32\。执行sc config ThreatbookAgentService type share group netsvcs复用现有分组。启动服务Start-Service ThreatbookAgentService。此时svchost.exe会加载DLL并执行卸载逻辑。等待10秒检查Get-Process svchost | Where-Object {$_.Modules.ModuleName -eq uninstall_hook.dll}是否返回空——表明DLL已执行完毕并卸载。阶段四终局清理与验证3分钟再次执行reg delete HKLM\SOFTWARE\ThreatBook /f确保无残留。运行gpupdate /force刷新组策略确认gpedit.msc可正常打开。最终验证Get-Service ThreatbookAgentService -ErrorAction SilentlyContinue应返回空Test-Path HKLM:\SOFTWARE\ThreatBook应返回False。4.2 安全模式专项流程当标准流程失败时的终极方案若上述流程中sc config报错“访问被拒绝”或svchost加载DLL后无反应则必须进入安全模式。安全模式下第三方驱动和服务不加载sc命令的权限限制解除且HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters被禁用注册表操作更稳定。进入安全模式方法无需密码在PowerShell中执行shutdown /r /o /t 0重启并进入“疑难解答”界面。选择“疑难解答”→“高级选项”→“启动设置”→“重启”。重启后按F4进入安全模式非带网络的安全模式。安全模式下执行直接运行sc delete ThreatbookAgentService安全模式下sc delete无需DACL重置。手动删除C:\Program Files\ThreatBook\目录此时无进程占用。用regedit手动删除HKLM\SOFTWARE\ThreatBook及HKLM\SYSTEM\CurrentControlSet\Services\ThreatbookAgentService。关键一步运行cmd执行dism /online /cleanup-image /restorehealth修复系统映像防止注册表清理引发SFC /scannow报错。实操心得安全模式下dism命令比SFC更有效因为SFC只修复受保护的系统文件而dism会重建整个WinSxS存储库。我曾遇到某台服务器清理后services.msc打不开执行dism后立即恢复——根源是ThreatbookAgent修改了C:\Windows\System32\services.exe的数字签名缓存dism会强制重新生成该缓存。5. 常见问题与独家排查技巧5.1 典型问题速查表问题现象可能原因解决方案sc sdset执行后提示“拒绝访问”当前PowerShell未以管理员身份运行或系统启用了UAC虚拟化右键开始菜单→“Windows PowerShell管理员”确认窗口标题含“Administrator”svchost加载DLL后无反应DLL未正确编译为x64架构或sc config未设置type share用dumpbin /headers uninstall_hook.dll检查machine字段是否为x64重新执行sc config并确认type share参数存在卸载后gpedit.msc仍崩溃HKLM\SOFTWARE\Policies\Microsoft\Windows\ScriptDisabling键值损坏手动删除该键或运行reg add HKLM\SOFTWARE\Policies\Microsoft\Windows\ScriptDisabling /v DisableScripts /t REG_DWORD /d 0 /f重置为默认值重启后Agent服务自动恢复HKLM\SYSTEM\CurrentControlSet\Services\ThreatbookAgentService残留或存在计划任务用taskschd.msc检查“ThreatBook”相关任务用reg query HKLM\SYSTEM\CurrentControlSet\Services /s | findstr Threat全盘扫描服务项reg delete后系统变慢注册表ACL重置导致TrustedInstaller权限丢失运行icacls HKLM\SOFTWARE /grant NT SERVICE\TrustedInstaller:(F) /t /c恢复TrustedInstaller完全控制权5.2 独家避坑技巧技巧1用ProcMon实时监控注册表变更下载Sysinternals ProcMon过滤条件设为Process NamecontainssvchostOperationisRegOpenKeyorRegSetValuePathcontainsThreatBook。这样能精准定位Agent写入的每一个注册表项避免漏删。我曾用此法发现HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下隐藏的TBStartup启动项该键不在官方文档中但会导致Agent在用户登录时复活。技巧2注册表权限的“最小化修复”原则不要盲目给Administrators组Full Control权限。正确做法是仅对HKLM\SOFTWARE\ThreatBook键设置Administrators的Full Control对其子键如Agent、Update设置Read权限父键HKLM\SOFTWARE保持默认ACL。这样既保证卸载顺利又避免因权限过度开放引发审计风险。技巧3服务启动类型的“降级陷阱”sc config中start demand手动比start disabled禁用更安全。因为disabled状态下某些安全软件会主动“修复”服务状态将其改回auto而demand状态不会被自动修改且Start-Service命令仍可触发。我在某保险客户环境就遇到过disabled的服务在30分钟后被EDR产品自动恢复换成demand后问题解决。技巧4DLL劫持的“零日志”验证法不依赖Get-Process查看模块而是检查C:\Windows\System32\config\SYSTEM的最后修改时间。正常情况下该文件每小时更新一次若uninstall_hook.dll成功执行它会调用RegDeleteKeyEx导致SYSTEM文件时间戳突变提前1-2秒。这是最底层的证据无法被任何用户态日志掩盖。最后分享一个小技巧卸载完成后用wmic service where nameThreatbookAgentService get state,name,startmode命令验证。如果返回空行说明服务已彻底消失如果返回StateStopped说明服务项还在只是没运行——这时要回去检查reg delete是否遗漏了CurrentControlSet001等备用控制集。Windows注册表有多个CurrentControlSet001、002、003CurrentControlSet是符号链接指向ControlSet001或ControlSet002但ControlSet001可能残留旧配置。务必用reg query HKLM\SYSTEM\ControlSet001\Services\ThreatbookAgentService和ControlSet002都检查一遍。