Ребутаем тачку в safe mode и управляем ей удаленно или как обойти некоторые средства защиты

[D2]

Всем привет. В процессе работы по сетям возникала необходимость работы в безопасном режиме. Искал инфу по этому поводу и толкового ничего не было. А именно мне нужно было вогнать тачку в safe mode и управлять ей удаленно. Наткнулся на отчет главного исследователя SophosLabs и решил повторить его действия.
P.S. какой же он конечно хороший человек, что случайно, а может не случайно, помог)

В чем выгода работы под безопасным режимом? Поскольку большинство решений для обеспечения безопасности будут автоматически отключены после загрузки Windows в безопасном режиме, то мы сможем делать все что душе угодно. Итак, приступим

Вогнать тачку в safe mode можно командой:
bcdedit /set {default} safeboot

Далее ребутаем нашу тачку:
shutdown -r -t 0

Но такой способ тривиальный и не подходит для наших целей, так как после ребута мы фактически потеряем доступ к машине по нескольким причинам:
1. если на учетке стоит пароль, то после ребута у нас будет окно для выбора учетки или ввода пароля;
2. если пароля нет, то он ребутнется и покажется рабочий стол, но мы не сможем управлять тачкой, так как нет удаленного доступа.

Данные проблемы решаются следующими способами:
1. Включить AutoLogon в систему, внеся изменения в реестр:
Указываем имя пользователя (должен быть локальным админом)
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v DefaultUserName /t REG_SZ /d username /f

Указываем пароль от учетки:
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v DefaultPassword /t REG_SZ /d password /f

Включаем AutoLogon:
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v AutoAdminLogon /t REG_SZ /d 1 /f

Таким способ, после ребута нашей тачки мы "обходим" ввод пароля и автоматически логинимся с систему. После успешного AutoLogon нам покажется рабочий стол.


2. Отлично, одна проблема решена. Остается другая - у нас попрежнему нет доступа к тачке в сейф моде. Мое решение состоит в том, чтобы после ребута тачки запустить, например, AnyDesk:
Опять вносим изменения в реестр перед ребутом, чтобы после него запустилась любимая Анюта)
reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce /v *a /t REG_SZ /d "cmd.exe /c path_to_anydesk"" /f

RunOnce отвечает за программы, запускаемые только один раз при входе пользователя в систему. После этого ключи программ автоматически удаляются из данного раздела реестра.
Программы, которые запускаются в этом разделе, запускаются для всех пользователей в системе.

Теперь необходимо установить и настроить Анюту на подключение, чтобы при коннекте она автоматически подключилась без всяких запросов на подключение и так далее (тавтология, но все же). Можно настроить Аню по данному мануалу.

Теперь, после всех манипуляций, у нас появляется возможность отправить тачку в safe mode и управлять ей удаленно.

P.S. при подключении к Ани указывать айпишник тачки (если нет инета на ней).

Но по ходу работы учел за собой недоработку - как выйти из сейф мода после работы в безопасном режиме?) Открываем cmd от имени админа и пишем следующее:
bcdedit /deletevalue {default} safeboot & shutdown -r -t 0

Данная команда выключаем сейф мод и ребутает машину в "нормальное" состояние.

Для автоматизации всех действий были написаны два .bat файла - для ребута в safe mode и возврат в "нормальное" состояние. Батники запускать от имени админа!

rebooter.bat - ребутает машину в safe mode. Скачать