我不干净了

[pkokp8]

常年用火狐+uBlock Origin 屏蔽广告，今天访问一个网站，提示我有广告屏蔽插件
我就换了 chrome 访问，我的 chrome 是干净的，什么扩展都没装
但是他还是提示我安装了广告屏蔽插件，我就点了一下它的提示标语，跳到了一个网站，提示我执行
win+R
ctrl+v
enter
三部检验是否是机器人

我脑子一热，就执行了。等我反应过来，看了下他让我执行的东西，好家伙，开头就是 powershell.exe -W Hidden
然后从 finalstepgo.com 下载一个 xxx.txt ，保存起来，并且 iex 执行
这个网站 google 就直接提示“此网站可能会损害您的计算机。”了

然后我手动下载了 xxx.txt 里的内容，里面更可恶，下载一个 zip 包，解压 exe ，删除 zip 包，执行 exe ，并且把 exe 添加到'HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run'

也不知道有什么后果，我就是傻逼

[ysc3839]

建议重装系统。
如果是管理员用户，且 UAC 没有开到最高档的话，可以直接提权。
如果是管理员用户，且 UAC 开到了最高档，但是系统是 Win10 或者 Win11 ，在没有做过特殊处理的情况下，仍然有一个漏洞可以利用来提权。

[Nasei]

一个网站让你执行 win+r ，这个就很离谱了

[Puteulanus]

不是老哥，看你这个计算机水平，win+r 弹出来的时候还能反应不过来是啥？😂

[JiHuGeek]

对不起，我笑了，做这网站的真是人才

[csys]

前阵子看到这个 https://krebsonsecurity.com/2024/09/this-windows-powershell-phish-has-scary-potential/

我就纳闷
win+R
ctrl+v
enter
这种东西谁会上当啊
没想到还真有

某种“脑控”

[csys]

想到之前玩 wow 打战场，经常有人在聊天框打"按 Alt+F4 查看攻略"
然后就是一连串的 xxx 退出战场

[pkokp8]

@Puteulanus 当时想的是：这网站真是傻，连我有没有用 adb 都检测错误，一个 win+r 和浏览器毫无关系，我倒要看看能检查个啥？
执行完就很后悔😭😭😭😭

[yzkcy]

"HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"是自启动目录，你只是把落地的马删了，进程里的马清了吗？没清也没用，可能后面人家又一键维权了，建议重装。

[icyalala]

当然最坏的情况是它直接读了 chrome 本地密码列表并传走了。。。

[duzhuo]

啊 ?

[jinliming2]

@pkokp8 #12 权限的话，就是当前用户的权限，如果禁用了 UAC 警告的话，可以无提示自动提升为管理员，没禁用的话提权默认会弹警告，但如果有提权漏洞利用的话，也许也可以绕过 UAC 警告弹窗直接提权到管理员甚至更高。

[lc1450]

按 E 看大虫子层数😂

[ZRS]

前段时间见过，感慨这也有人上当...结果还真有

[ochatokori]

赶紧把登录过的网站都退出然后密码全改了，运行的那时候可能把你 cookie 偷光了

[ZhiyuanLin]

我猜大概率是黄网，大头被小头控制了。

[t6fEi5D1ON040096]

这就是用 Windows 最难受的地方，感觉到处倒是脏东西，只要不是大公司的软件，都会在你系统里拉屎，有时一星期能重装三次系统

[BEza5k2j7yew0VN9]

@V2thanks 有一个工具叫冰点还原，重启之后就很干净。

[masterjoess]

肉鸡+1

[chutsetien]

@pkokp8

> 不知道这个 win+r 拉起来的 exe 权限有多高

如果你是管理员的话，你会看到这样一句话：


就这么高~

[hullhutt]

不会吧，连这种敏感性都没有？
没用过 win+r????????