1. 项目概述为什么Windows提权是攻防对抗的核心战场在网络安全领域尤其是渗透测试和红队评估中获取目标系统的更高权限是突破防御纵深、扩大战果的关键一步。Windows系统作为全球最主流的桌面和服务器操作系统其权限提升技术自然成为了攻防双方研究的焦点。所谓“提权”简单来说就是从一个较低权限的用户账户例如普通用户、服务账户升级到更高权限账户通常是SYSTEM或Administrator的过程。这不仅仅是获取一个“管理员”标签而是意味着你能完全控制系统执行任意代码、访问所有文件、修改关键配置甚至将攻击触角延伸到整个域网络。我见过太多场景一次成功的初始入侵比如通过钓鱼邮件拿到一个普通用户权限因为无法提权而止步不前最终被防守方发现并清除。反过来一次看似普通的漏洞利用配合巧妙的提权手法就能让攻击者瞬间掌控整个服务器。因此无论是为了评估系统安全性还是理解攻击者视角以构建更坚固的防御深入掌握Windows提权技术都至关重要。这份指南将从最基础的原理讲起一直深入到高级实战技巧目标是让你不仅能复现这些技术更能理解其背后的“为什么”从而具备独立分析和应对新威胁的能力。2. 提权基础理解Windows权限模型与核心概念在动手之前我们必须打好地基。Windows的权限体系远比“用户”和“管理员”复杂理解它是所有提权技术的出发点。2.1 用户账户控制与访问令牌自Windows Vista引入的用户账户控制是微软在安全上的一次重要尝试。它的核心思想是即使你是管理员组成员大部分操作也只在标准用户权限下运行。当你需要执行特权操作时UAC会弹出提示要求你确认。这实际上创建了两个访问令牌一个受限的标准用户令牌和一个完整的管理员令牌。只有经过“同意”后进程才会使用完整令牌运行。对于攻击者而言绕过或利用UAC是本地提权的一条常见路径。比用户身份更核心的概念是访问令牌。你可以把它想象成进程的“身份证”里面包含了用户的安全标识符、所属组、特权列表以及完整性级别等信息。当进程尝试访问一个资源如文件、注册表键时系统会检查该进程令牌中的SID和权限与资源的安全描述符进行比对。提权的本质就是想方设法为我们的进程获取一个包含更高权限SID或特权的令牌。2.2 特权与完整性级别Windows定义了一系列具体的特权例如SeDebugPrivilege调试程序、SeBackupPrivilege备份文件等。这些特权是细粒度的能力授权。一个用户即使不是管理员也可能被授予某些特权。在提权中我们常常寻找被错误分配的特权例如一个服务账户拥有SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege这通常意味着 impersonation 提权的大门已经敞开。完整性级别是Windows Vista后引入的强制完整性控制机制用于隔离不同信任级别的进程和对象。它分为六级不可信、低、中、高、系统、受信任的安装程序。默认情况下用户进程运行在“中”完整性级别而需要特权的操作如修改系统目录则要求“高”或“系统”级别。MIC通过阻止低完整性进程向高完整性进程写入数据来防御一部分攻击。因此提权也常常伴随着完整性级别的提升。2.3 常见提权路径分类根据起点和目标我们可以将提权路径做一个清晰的分类这有助于我们在实战中快速定位方向用户账户到管理员账户这是最经典的场景。你通过某种方式如密码猜测、漏洞利用获得了一个标准用户shell目标是加入Administrators组或获取同等权限。管理员账户到SYSTEM账户在渗透测试中有时你拿到的是管理员权限但某些操作如转储LSASS进程内存获取凭证需要NT AUTHORITY\SYSTEM权限。从管理员到SYSTEM通常更直接。服务账户到SYSTEM/管理员Windows上大量应用以后台服务形式运行。这些服务可能以LOCAL SERVICE、NETWORK SERVICE或自定义账户运行。如果这些服务存在漏洞如二进制文件权限配置错误、可写路径等就可能实现从服务账户到更高权限的跃迁。绕过用户账户控制在已登录的管理员会话中以非提升的权限运行需要在不触发UAC弹窗或用户交互的情况下获得一个高完整性级别的进程。注意所有提权技术的讨论和学习必须严格限定在授权测试环境或自己完全控制的实验环境中进行。未经授权对他人的系统进行提权尝试是非法行为。3. 信息收集提权前的侦察与自动化工具提权不是盲目地运行漏洞利用代码而是一个基于信息分析的定向过程。在获得初始立足点后系统性的信息收集是成功的第一步。3.1 手动信息收集命令在命令行下有一系列内置命令可以帮助我们快速绘制系统权限地图系统与用户信息whoami /all这是你的“起手式”。它能显示当前用户名称、SID、所属组以及该用户被授予的所有特权。特别关注“已启用”的特权。net user [username]和net localgroup administrators查看特定用户的详细信息以及本地管理员组有哪些成员。systeminfo获取详细的系统信息包括OS版本、补丁级别、主机名等用于寻找未修复的漏洞。网络与进程信息netstat -ano查看网络连接和监听端口结合tasklist /svc可以找出运行服务的进程定位潜在的攻击面。tasklist /v或Get-Process查看运行进程的详细信息特别是运行账户。权限与配置审计icacls或cacls检查文件和目录的详细权限设置。重点关注可执行文件、脚本、配置文件是否对当前用户可写。accesschk.exeSysinternals套件比icacls更强大的工具可以轻松枚举用户或组对文件、注册表、服务的访问权限。sc qc [servicename]查询服务的详细配置包括二进制路径、启动账户、依赖关系等。3.2 自动化信息收集脚本手动命令效率较低实战中我们更依赖自动化脚本。这些脚本能系统性地枚举大量信息并高亮显示潜在的脆弱点。WinPEAS这是目前最强大、最活跃的Windows本地提权枚举脚本。它有.bat和.exe版本能检查系统信息、用户权限、服务配置、计划任务、安装的软件、驱动程序、AlwaysInstallElevated设置、自动运行程序、凭证存储等数十个类别。它会用颜色标记“Interesting Files”、“Vulnerable Services”等输出非常直观。Windows-Exploit-Suggester这个工具通常运行在攻击机上。它接收从目标机systeminfo命令的输出然后对比本地数据库快速列出该系统可能缺失的补丁及对应的公开漏洞利用代码。PowerUpPowerSploit框架的一部分用PowerShell编写。它专注于检查常见的错误配置提权路径如可写服务二进制文件、服务中的非引用服务路径、AlwaysInstallElevated、计划任务、注册表自动运行项等。其Invoke-AllChecks函数可以一键运行所有检查模块。Seatbelt另一个功能丰富的C#信息收集工具模块化设计可以收集系统信息、凭证、日志、防火墙规则等。实操心得在实际渗透中我通常会先上传并运行WinPEAS因为它覆盖最全。同时我会手动运行whoami /priv和systeminfo作为快速参考。如果环境限制脚本执行再退而求其次使用前面提到的手动命令组合进行“盲枚举”。永远不要只依赖一个工具交叉验证是关键。4. 基于系统漏洞的提权内核与驱动攻防这是最“传统”的提权方式利用操作系统内核或驱动程序中的安全漏洞如缓冲区溢出、逻辑缺陷直接在内核态执行代码从而突破权限限制。这类提权通常稳定、直接但高度依赖于系统是否安装了相应的安全补丁。4.1 漏洞利用流程与工具链信息收集确定补丁水平通过systeminfo查看系统版本和已安装的补丁列表。重点关注KB编号。匹配漏洞将系统信息输入到如Windows-Exploit-Suggester、wesng等工具中或手动查阅公开的漏洞库寻找适用于该系统的本地提权漏洞。选择利用代码在Exploit-DB、GitHub等平台寻找公开的利用代码。常见的经典漏洞包括CVE-2021-1675 / CVE-2021-34527PrintNightmareWindows打印后台处理程序服务漏洞影响范围极广。CVE-2021-1732Windows Win32k内核驱动漏洞。CVE-2019-0808Win32k中的类型混淆漏洞。CVE-2018-8120Win32k中的空指针解引用漏洞。编译与执行公开的利用代码通常是C/C或Python编写。你需要根据目标系统架构x86/x64进行交叉编译或者使用Python在目标机直接运行如果安装了Python环境。务必在相同版本和补丁级别的实验环境中测试成功后再用于授权目标。获取Shell成功的漏洞利用通常会启动一个以SYSTEM权限运行的命令提示符或反向Shell。4.2 实战案例利用PrintNightmare提权以PrintNightmare为例简述其利用过程仅用于原理学习确认漏洞存在目标系统为Windows Server 2019未安装2021年6月及之后的累积更新。准备恶意DLL创建一个包含payload的DLL文件该DLL导出一个函数PrintDriverFind。Payload可以是添加用户、执行命令等。搭建SMB共享在攻击机上将包含恶意DLL的目录进行SMB共享。这是为了模拟攻击者控制的“远程打印机驱动”仓库。触发漏洞在目标机上使用PowerShell或rundll32.exe调用spoolsv.exe打印后台处理程序服务的相关功能指定驱动路径为我们攻击机上的SMB共享路径。由于服务运行在SYSTEM权限且漏洞存在于驱动安装验证逻辑中服务会加载并执行我们的恶意DLL。结果恶意DLL以SYSTEM权限执行成功创建管理员用户或返回SYSTEM权限的Shell。注意事项防病毒绕过公开的利用代码和生成的恶意DLL极易被防病毒软件检测。在实战中可能需要自定义代码、进行混淆或加密。稳定性风险内核漏洞利用可能导致系统蓝屏崩溃。在生产环境或重要的测试目标上使用需极其谨慎。补丁与缓解措施微软已发布相关补丁并提供了禁用Point and Print限制策略等缓解措施。新系统上此类漏洞利用成功率已大大降低。5. 基于服务配置错误的提权权限滥用与劫持这是在实际环境中成功率非常高的一类提权方法它不依赖于未打补丁的漏洞而是利用系统或管理员在配置服务、计划任务时的疏忽。5.1 可写服务二进制文件与路径劫持Windows服务由服务控制管理器管理每个服务都有一个指向可执行文件的二进制路径。如果这个路径对应的文件或目录权限设置不当低权限用户能够修改或替换它那么当下次服务重启时或触发某些操作时我们的恶意代码就会以服务账户通常是SYSTEM权限运行。检查方法使用sc qc [服务名]查看服务的BINARY_PATH_NAME。使用icacls或accesschk.exe -wvuc [用户名] [文件或目录路径]检查该路径的权限。如果当前用户对该文件有F完全控制或W写入权限则存在风险。利用步骤确认一个以SYSTEM或高权限账户运行的服务其二进制文件路径当前用户可写。备份原始文件可选出于职业道德。将二进制文件替换为我们的恶意可执行文件例如一个添加用户或反弹Shell的程序。或者如果目录可写但文件不可写可以尝试DLL劫持在服务二进制文件同级目录或系统PATH中放置一个同名的恶意DLL。重启服务。如果服务无法重启可以等待系统重启或尝试崩溃该服务以触发自动恢复如果配置了的话。5.2 非引用服务路径漏洞这是服务配置错误中一个非常经典的子类。当服务的二进制路径被空格分隔且未被引号包裹时Windows SCM会按顺序尝试解析和执行。例如BINARY_PATH_NAME C:\Program Files\Vulnerable App\service.exe如果路径是C:\Program Files\Vulnerable App\service.exeSCM会依次尝试C:\Program.exeC:\Program Files\Vulnerable.exeC:\Program Files\Vulnerable App\service.exe如果当前用户对C:\或C:\Program Files\有写入权限就可以在相应位置放置一个名为Program.exe或Vulnerable.exe的恶意程序。当服务启动时我们的恶意程序会以服务权限被执行。利用步骤使用sc qc或WinPEAS查找未用引号包裹且包含空格的服务路径。检查空格前的目录如C:\或C:\Program Files\的写入权限。在可写位置创建恶意可执行文件文件名与空格前的路径段同名如Program.exe。重启服务或等待系统重启。5.3 服务权限与访问控制漏洞服务的配置信息存储在注册表中HKLM\SYSTEM\CurrentControlSet\Services\[服务名]。如果低权限用户对这些注册表键拥有WRITE_DAC或WRITE_OWNER等写入权限就可以修改服务的配置例如将其二进制路径指向我们的恶意程序。检查与利用使用accesschk.exe -kvw [用户名] HKLM\SYSTEM\CurrentControlSet\Services来枚举当前用户有写入权限的服务注册表键。如果找到可以使用reg add命令修改ImagePath值指向恶意程序然后重启服务。实操心得在内部网络渗透测试中基于服务配置错误的提权远比远程漏洞利用常见。自动化脚本如PowerUp的Get-ModifiableServiceFile和Get-ModifiableService函数能快速发现这类问题。记住修改系统服务可能影响业务稳定性在授权测试中操作前务必评估风险并最好在测试窗口期进行。6. 基于计划任务与自动启动项的提权Windows提供了多种在特定时间或事件触发时自动运行程序的方法。如果这些任务或启动项指向的文件/目录权限配置不当同样可以成为提权的跳板。6.1 计划任务分析计划任务由任务计划程序管理。我们可以检查是否有计划任务以高权限运行但其执行的操作如运行脚本、可执行文件或工作目录当前用户可写。检查命令schtasks /query /fo LIST /v以详细格式列出所有计划任务。关注运行用户身份和任务运行字段。查看具体任务schtasks /query /tn “[任务名]” /fo LIST /v检查任务执行的命令或脚本文件路径的权限。利用场景可写的任务操作如果任务运行一个批处理文件.bat或PowerShell脚本.ps1而该脚本当前用户可写我们可以直接修改脚本内容插入恶意命令。可写的工作目录如果任务的“起始于”目录可写并且任务执行时会在该目录下寻找或生成文件可能通过DLL劫持或放置恶意同名文件来利用。6.2 启动文件夹与注册表自动运行项系统或用户在登录时会自动运行一些程序这些位置也值得关注。启动文件夹当前用户%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup所有用户%ProgramData%\Microsoft\Windows\Start Menu\Programs\StartUp注册表自动运行键HKCU\Software\Microsoft\Windows\CurrentVersion\RunHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunHKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run(32位程序在64位系统)...\RunOnce,...\RunServicesOnce等。检查与利用 检查这些文件夹的写入权限或检查当前用户对上述注册表键是否有写入权限。如果可以写入就可以添加一个指向我们恶意程序的条目当用户下次登录或系统启动时程序将以相应用户的权限执行当前用户启动文件夹是用户权限所有用户启动文件夹或HKLM注册表键通常是高权限。注意修改所有用户的启动项或HKLM注册表键通常需要重启或注销/登录才能生效在渗透测试中可能不够及时。7. 基于DLL劫持与搜索顺序的提权DLL劫持是一种古老但依然有效的技术它利用了Windows应用程序加载动态链接库时的搜索顺序。如果一个高权限的应用程序尝试加载一个DLL而我们在其搜索路径中更早的位置放置了一个同名的恶意DLL那么我们的DLL就会被加载并执行。7.1 Windows DLL搜索顺序对于一个未指定完整路径的DLL应用程序会按以下顺序搜索可能会受SafeDllSearchMode等设置影响应用程序所在的目录。系统目录C:\Windows\System32。16位系统目录C:\Windows\System。Windows目录C:\Windows。当前工作目录。PATH环境变量中列出的目录。7.2 寻找劫持机会可写目录在搜索顺序前列这是最常见的情况。例如一个以SYSTEM运行的服务其二进制文件在C:\Program Files\App\但它的“起始目录”或当前工作目录被设置为一个低权限用户可写的目录如C:\Temp。如果该服务加载一个名为version.dll的库它会先在C:\Temp中寻找。我们只需在C:\Temp中放置一个恶意的version.dll。缺失的DLL如果应用程序尝试加载一个根本不存在的DLL那么搜索会遍历所有目录直到失败。如果其中一个目录可写我们就可以创建那个缺失的DLL文件。PATH环境变量中的可写目录如果用户尤其是高权限用户的PATH环境变量中包含一个全局可写目录早年常见现在较少那么任何未指定路径的DLL加载都可能被劫持。工具辅助 使用Process Monitor可以监控进程的DLL加载行为快速发现潜在的劫持点。过滤进程名然后观察Load Image操作结果是否为NAME NOT FOUND或路径是否在可写目录。利用步骤发现一个高权限进程服务、计划任务等存在DLL劫持漏洞。使用MSF的msfvenom或自己编写一个恶意DLL。这个DLL需要导出目标进程所需的所有函数可以简单转发到原始DLL并在DllMain中执行我们的payload。将恶意DLL放置到劫持路径中。触发进程重启或重新加载DLL有时需要重启服务或等待计划任务触发。注意事项现代Windows版本和受保护的进程对DLL加载有更多限制。杀毒软件也会监控常见的DLL劫持行为。制作恶意DLL时需要考虑绕过这些防护。8. 基于凭证窃取与令牌操纵的提权有时候提权不需要运行新的代码而是直接“借用”系统中已存在的高权限令牌。8.1 凭证转储如果当前用户具有SeDebugPrivilege权限通常管理员有就可以读取其他进程的内存包括存储明文密码、哈希和票据的lsass.exe进程。Mimikatz这是最著名的凭证提取工具。经典命令sekurlsa::logonpasswords可以提取内存中的明文密码、NTLM哈希、Kerberos票据等。但现代Windows Defender等安全产品会实时监控并阻止Mimikatz的运行。Procdump Mimikatz离线分析更隐蔽的方式是使用微软官方的procdump.exe将lsass进程的内存转储到磁盘procdump -ma lsass.exe lsass.dmp。然后将dump文件下载到攻击机在本地使用Mimikatz离线分析mimikatz # sekurlsa::minidump lsass.dmpmimikatz # sekurlsa::logonpasswords。其他工具如SafetyKatz、SharpKatz、PPLdump等都是为绕过防护而生的工具变种。获取到高权限用户的哈希后可以通过Pass-The-Hash攻击横向移动或者如果破解出明文密码则可以直接登录。8.2 令牌模拟与窃取Windows的令牌模拟机制允许线程在特定上下文中采用另一个用户的安全上下文。如果当前进程拥有SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege就可以模拟其他用户的令牌。Rotten Potato / Juicy Potato这是一系列利用COM/DCOM/NTLM认证流程进行令牌模拟的提权工具。其核心原理是诱使一个更高权限的进程如SYSTEM向攻击者控制的RPC服务器进行认证攻击者捕获这个认证过程并模拟该令牌。这些工具通常需要SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege。Juicy Potato通过指定不同的CLSID来增加成功率。PrintSpoofer一个更新的工具利用打印机后台处理程序服务相关的命名管道和身份验证机制在拥有SeImpersonatePrivilege时直接从本地服务账户提升到SYSTEM。它在很多现代Windows服务器上仍然有效。手动令牌窃取使用Metasploit的incognito模块或独立的incognito.exe工具可以列出当前系统上的可用令牌并直接窃取它们来创建新进程。例如窃取一个域管理员的令牌然后以他的身份执行命令。实操心得在Windows Server上IIS应用程序池账户、SQL Server服务账户等经常被授予SeImpersonatePrivilege。一旦获得这些账户的权限使用PrintSpoofer或Juicy Potato提权到SYSTEM的成功率非常高。这已经成为Web应用渗透后获取服务器系统权限的“标准操作流程”之一。9. 其他常见提权路径与杂项技巧除了上述主要类别还有一些零散但实用的提权方法。9.1 AlwaysInstallElevated策略这是一个组策略设置如果启用任何用户都可以以SYSTEM权限安装MSI包。这显然是非常危险的配置。检查方法注册表检查HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer\AlwaysInstallElevated和HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer\AlwaysInstallElevated是否都设置为1。使用PowerUpGet-RegistryAlwaysInstallElevated使用WinPEAS它会自动检查并标记。利用方法使用msfvenom生成一个恶意的MSI安装包msfvenom -p windows/adduser USERbackdoor PASSBackdoor123! -f msi -o evil.msi在目标机上运行msiexec /quiet /qn /i evil.msi恶意操作如添加用户将以SYSTEM权限执行。9.2 可写的系统路径与程序检查C:\Windows\System32、C:\Windows\SysWOW64等系统目录是否全局可写极不可能但历史上出现过漏洞。更常见的是检查C:\Windows\Temp、C:\Windows\Tasks等目录虽然它们通常可写但默认情况下以中等完整性运行的程序无法直接在这里创建高完整性进程。9.3 不安全的GUI应用程序与辅助功能劫持某些情况下高权限的GUI应用程序如辅助工具可能会在登录界面或锁定屏幕时以SYSTEM权限运行。如果这些应用程序的二进制文件可被替换或配置可被修改就可能实现提权。经典的例子是Utilman.exe轻松使用和sethc.exe粘滞键的替换。利用方法以sethc为例需物理接触或特殊权限在系统启动时进入恢复环境或使用安装介质启动。将C:\Windows\System32\sethc.exe替换为cmd.exe的副本。重启进入正常系统在登录界面连续按5次Shift键。本应启动粘滞键但实际会弹出以SYSTEM权限运行的命令提示符。现代Windows通过受信任的安装程序保护和文件保护机制使得这种替换在正常系统运行时变得非常困难。10. 提权后的操作与权限维持成功提权到SYSTEM或Administrator后工作并未结束。你需要巩固战果并建立持久化的访问通道。10.1 权限维持技术创建隐藏账户虽然net user创建的账户容易被发现但可以通过修改注册表SAMhive创建完全隐藏的账户或者给现有账户如默认的Guest账户添加管理员权限并激活。SSH公钥注入如果服务器开启了OpenSSH服务将你的公钥添加到Administrator用户的authorized_keys文件中。计划任务创建一个以SYSTEM权限定期运行的计划任务执行你的后门程序。服务持久化安装一个新的服务或者修改一个现有不常用服务的二进制路径指向你的后门。注册表自动运行项在HKLM下的Run键中添加你的后门程序路径。WMI事件订阅这是一种非常隐蔽的持久化方式。创建一个WMI事件过滤器如特定时间间隔、用户登录和消费者执行你的payload将两者绑定。系统会在事件触发时以SYSTEM权限执行你的代码。COM劫持劫持系统或用户经常使用的COM组件使其加载你的恶意DLL。10.2 清理痕迹与防御规避在授权测试中清理痕迹可能不是必须的但了解攻击者如何做有助于防御。清除日志使用wevtutil命令清除安全日志、系统日志、PowerShell操作日志等。例如wevtutil cl Security。使用时间戳修改工具将你创建或修改的文件的时间戳恢复成与周围文件类似的时间避免基于时间线的取证分析。使用内存执行或无文件技术尽可能避免在磁盘上留下可执行文件。使用PowerShell、WMI、DotNetToJScript等技术在内存中加载和执行payload。禁用安全产品在获取足够权限后可能会尝试禁用防病毒软件、EDR代理或Windows Defender的实时保护需谨慎极易触发警报。11. 防御视角如何防范提权攻击作为防御者或系统管理员理解攻击技术是为了更好地防护。最小权限原则给用户和服务分配完成任务所需的最小权限。避免给普通用户或服务账户授予SeDebugPrivilege、SeImpersonatePrivilege等危险特权。及时更新与补丁管理建立严格的补丁管理流程及时安装安全更新尤其是针对公开漏洞的补丁。安全的服务配置确保服务二进制文件及其所在目录的权限严格只有SYSTEM和TrustedInstaller有完全控制权。始终用引号包裹包含空格的服务路径。定期审计服务账户避免使用高权限账户运行非关键服务。强化计划任务与启动项审查所有自动运行项确保其指向的文件和目录权限安全。启用并监控安全功能用户账户控制保持UAC在默认或更高级别。Windows Defender Credential Guard防止凭据盗窃攻击。受控文件夹访问防止关键目录被未授权程序修改。攻击面减少规则阻止Office宏、脚本执行等。应用程序控制使用AppLocker或Windows Defender Application Control来定义允许运行的应用程序白名单。凭证保护使用LAPS管理本地管理员密码。实施强密码策略和多重认证。限制具有SeDebugPrivilege的用户。持续监控与审计启用并集中收集安全日志4688进程创建、4697服务安装、4702计划任务创建等。使用Sysmon等工具进行深度进程监控。部署EDR/NDR解决方案检测异常行为如异常的进程父子关系、令牌窃取、LSASS内存读取等。Windows提权是一场永不停歇的攻防博弈。攻击技术在进化防御体系也在不断完善。对于安全从业者而言深入理解这些技术的原理不仅能让你在渗透测试中游刃有余更能让你在设计安全架构、响应安全事件时洞察先机。真正的安全源于对攻防双方深刻的理解。
Windows提权技术全解析：从权限模型到实战攻防
发布时间：2026/7/6 22:02:29
1. 项目概述为什么Windows提权是攻防对抗的核心战场在网络安全领域尤其是渗透测试和红队评估中获取目标系统的更高权限是突破防御纵深、扩大战果的关键一步。Windows系统作为全球最主流的桌面和服务器操作系统其权限提升技术自然成为了攻防双方研究的焦点。所谓“提权”简单来说就是从一个较低权限的用户账户例如普通用户、服务账户升级到更高权限账户通常是SYSTEM或Administrator的过程。这不仅仅是获取一个“管理员”标签而是意味着你能完全控制系统执行任意代码、访问所有文件、修改关键配置甚至将攻击触角延伸到整个域网络。我见过太多场景一次成功的初始入侵比如通过钓鱼邮件拿到一个普通用户权限因为无法提权而止步不前最终被防守方发现并清除。反过来一次看似普通的漏洞利用配合巧妙的提权手法就能让攻击者瞬间掌控整个服务器。因此无论是为了评估系统安全性还是理解攻击者视角以构建更坚固的防御深入掌握Windows提权技术都至关重要。这份指南将从最基础的原理讲起一直深入到高级实战技巧目标是让你不仅能复现这些技术更能理解其背后的“为什么”从而具备独立分析和应对新威胁的能力。2. 提权基础理解Windows权限模型与核心概念在动手之前我们必须打好地基。Windows的权限体系远比“用户”和“管理员”复杂理解它是所有提权技术的出发点。2.1 用户账户控制与访问令牌自Windows Vista引入的用户账户控制是微软在安全上的一次重要尝试。它的核心思想是即使你是管理员组成员大部分操作也只在标准用户权限下运行。当你需要执行特权操作时UAC会弹出提示要求你确认。这实际上创建了两个访问令牌一个受限的标准用户令牌和一个完整的管理员令牌。只有经过“同意”后进程才会使用完整令牌运行。对于攻击者而言绕过或利用UAC是本地提权的一条常见路径。比用户身份更核心的概念是访问令牌。你可以把它想象成进程的“身份证”里面包含了用户的安全标识符、所属组、特权列表以及完整性级别等信息。当进程尝试访问一个资源如文件、注册表键时系统会检查该进程令牌中的SID和权限与资源的安全描述符进行比对。提权的本质就是想方设法为我们的进程获取一个包含更高权限SID或特权的令牌。2.2 特权与完整性级别Windows定义了一系列具体的特权例如SeDebugPrivilege调试程序、SeBackupPrivilege备份文件等。这些特权是细粒度的能力授权。一个用户即使不是管理员也可能被授予某些特权。在提权中我们常常寻找被错误分配的特权例如一个服务账户拥有SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege这通常意味着 impersonation 提权的大门已经敞开。完整性级别是Windows Vista后引入的强制完整性控制机制用于隔离不同信任级别的进程和对象。它分为六级不可信、低、中、高、系统、受信任的安装程序。默认情况下用户进程运行在“中”完整性级别而需要特权的操作如修改系统目录则要求“高”或“系统”级别。MIC通过阻止低完整性进程向高完整性进程写入数据来防御一部分攻击。因此提权也常常伴随着完整性级别的提升。2.3 常见提权路径分类根据起点和目标我们可以将提权路径做一个清晰的分类这有助于我们在实战中快速定位方向用户账户到管理员账户这是最经典的场景。你通过某种方式如密码猜测、漏洞利用获得了一个标准用户shell目标是加入Administrators组或获取同等权限。管理员账户到SYSTEM账户在渗透测试中有时你拿到的是管理员权限但某些操作如转储LSASS进程内存获取凭证需要NT AUTHORITY\SYSTEM权限。从管理员到SYSTEM通常更直接。服务账户到SYSTEM/管理员Windows上大量应用以后台服务形式运行。这些服务可能以LOCAL SERVICE、NETWORK SERVICE或自定义账户运行。如果这些服务存在漏洞如二进制文件权限配置错误、可写路径等就可能实现从服务账户到更高权限的跃迁。绕过用户账户控制在已登录的管理员会话中以非提升的权限运行需要在不触发UAC弹窗或用户交互的情况下获得一个高完整性级别的进程。注意所有提权技术的讨论和学习必须严格限定在授权测试环境或自己完全控制的实验环境中进行。未经授权对他人的系统进行提权尝试是非法行为。3. 信息收集提权前的侦察与自动化工具提权不是盲目地运行漏洞利用代码而是一个基于信息分析的定向过程。在获得初始立足点后系统性的信息收集是成功的第一步。3.1 手动信息收集命令在命令行下有一系列内置命令可以帮助我们快速绘制系统权限地图系统与用户信息whoami /all这是你的“起手式”。它能显示当前用户名称、SID、所属组以及该用户被授予的所有特权。特别关注“已启用”的特权。net user [username]和net localgroup administrators查看特定用户的详细信息以及本地管理员组有哪些成员。systeminfo获取详细的系统信息包括OS版本、补丁级别、主机名等用于寻找未修复的漏洞。网络与进程信息netstat -ano查看网络连接和监听端口结合tasklist /svc可以找出运行服务的进程定位潜在的攻击面。tasklist /v或Get-Process查看运行进程的详细信息特别是运行账户。权限与配置审计icacls或cacls检查文件和目录的详细权限设置。重点关注可执行文件、脚本、配置文件是否对当前用户可写。accesschk.exeSysinternals套件比icacls更强大的工具可以轻松枚举用户或组对文件、注册表、服务的访问权限。sc qc [servicename]查询服务的详细配置包括二进制路径、启动账户、依赖关系等。3.2 自动化信息收集脚本手动命令效率较低实战中我们更依赖自动化脚本。这些脚本能系统性地枚举大量信息并高亮显示潜在的脆弱点。WinPEAS这是目前最强大、最活跃的Windows本地提权枚举脚本。它有.bat和.exe版本能检查系统信息、用户权限、服务配置、计划任务、安装的软件、驱动程序、AlwaysInstallElevated设置、自动运行程序、凭证存储等数十个类别。它会用颜色标记“Interesting Files”、“Vulnerable Services”等输出非常直观。Windows-Exploit-Suggester这个工具通常运行在攻击机上。它接收从目标机systeminfo命令的输出然后对比本地数据库快速列出该系统可能缺失的补丁及对应的公开漏洞利用代码。PowerUpPowerSploit框架的一部分用PowerShell编写。它专注于检查常见的错误配置提权路径如可写服务二进制文件、服务中的非引用服务路径、AlwaysInstallElevated、计划任务、注册表自动运行项等。其Invoke-AllChecks函数可以一键运行所有检查模块。Seatbelt另一个功能丰富的C#信息收集工具模块化设计可以收集系统信息、凭证、日志、防火墙规则等。实操心得在实际渗透中我通常会先上传并运行WinPEAS因为它覆盖最全。同时我会手动运行whoami /priv和systeminfo作为快速参考。如果环境限制脚本执行再退而求其次使用前面提到的手动命令组合进行“盲枚举”。永远不要只依赖一个工具交叉验证是关键。4. 基于系统漏洞的提权内核与驱动攻防这是最“传统”的提权方式利用操作系统内核或驱动程序中的安全漏洞如缓冲区溢出、逻辑缺陷直接在内核态执行代码从而突破权限限制。这类提权通常稳定、直接但高度依赖于系统是否安装了相应的安全补丁。4.1 漏洞利用流程与工具链信息收集确定补丁水平通过systeminfo查看系统版本和已安装的补丁列表。重点关注KB编号。匹配漏洞将系统信息输入到如Windows-Exploit-Suggester、wesng等工具中或手动查阅公开的漏洞库寻找适用于该系统的本地提权漏洞。选择利用代码在Exploit-DB、GitHub等平台寻找公开的利用代码。常见的经典漏洞包括CVE-2021-1675 / CVE-2021-34527PrintNightmareWindows打印后台处理程序服务漏洞影响范围极广。CVE-2021-1732Windows Win32k内核驱动漏洞。CVE-2019-0808Win32k中的类型混淆漏洞。CVE-2018-8120Win32k中的空指针解引用漏洞。编译与执行公开的利用代码通常是C/C或Python编写。你需要根据目标系统架构x86/x64进行交叉编译或者使用Python在目标机直接运行如果安装了Python环境。务必在相同版本和补丁级别的实验环境中测试成功后再用于授权目标。获取Shell成功的漏洞利用通常会启动一个以SYSTEM权限运行的命令提示符或反向Shell。4.2 实战案例利用PrintNightmare提权以PrintNightmare为例简述其利用过程仅用于原理学习确认漏洞存在目标系统为Windows Server 2019未安装2021年6月及之后的累积更新。准备恶意DLL创建一个包含payload的DLL文件该DLL导出一个函数PrintDriverFind。Payload可以是添加用户、执行命令等。搭建SMB共享在攻击机上将包含恶意DLL的目录进行SMB共享。这是为了模拟攻击者控制的“远程打印机驱动”仓库。触发漏洞在目标机上使用PowerShell或rundll32.exe调用spoolsv.exe打印后台处理程序服务的相关功能指定驱动路径为我们攻击机上的SMB共享路径。由于服务运行在SYSTEM权限且漏洞存在于驱动安装验证逻辑中服务会加载并执行我们的恶意DLL。结果恶意DLL以SYSTEM权限执行成功创建管理员用户或返回SYSTEM权限的Shell。注意事项防病毒绕过公开的利用代码和生成的恶意DLL极易被防病毒软件检测。在实战中可能需要自定义代码、进行混淆或加密。稳定性风险内核漏洞利用可能导致系统蓝屏崩溃。在生产环境或重要的测试目标上使用需极其谨慎。补丁与缓解措施微软已发布相关补丁并提供了禁用Point and Print限制策略等缓解措施。新系统上此类漏洞利用成功率已大大降低。5. 基于服务配置错误的提权权限滥用与劫持这是在实际环境中成功率非常高的一类提权方法它不依赖于未打补丁的漏洞而是利用系统或管理员在配置服务、计划任务时的疏忽。5.1 可写服务二进制文件与路径劫持Windows服务由服务控制管理器管理每个服务都有一个指向可执行文件的二进制路径。如果这个路径对应的文件或目录权限设置不当低权限用户能够修改或替换它那么当下次服务重启时或触发某些操作时我们的恶意代码就会以服务账户通常是SYSTEM权限运行。检查方法使用sc qc [服务名]查看服务的BINARY_PATH_NAME。使用icacls或accesschk.exe -wvuc [用户名] [文件或目录路径]检查该路径的权限。如果当前用户对该文件有F完全控制或W写入权限则存在风险。利用步骤确认一个以SYSTEM或高权限账户运行的服务其二进制文件路径当前用户可写。备份原始文件可选出于职业道德。将二进制文件替换为我们的恶意可执行文件例如一个添加用户或反弹Shell的程序。或者如果目录可写但文件不可写可以尝试DLL劫持在服务二进制文件同级目录或系统PATH中放置一个同名的恶意DLL。重启服务。如果服务无法重启可以等待系统重启或尝试崩溃该服务以触发自动恢复如果配置了的话。5.2 非引用服务路径漏洞这是服务配置错误中一个非常经典的子类。当服务的二进制路径被空格分隔且未被引号包裹时Windows SCM会按顺序尝试解析和执行。例如BINARY_PATH_NAME C:\Program Files\Vulnerable App\service.exe如果路径是C:\Program Files\Vulnerable App\service.exeSCM会依次尝试C:\Program.exeC:\Program Files\Vulnerable.exeC:\Program Files\Vulnerable App\service.exe如果当前用户对C:\或C:\Program Files\有写入权限就可以在相应位置放置一个名为Program.exe或Vulnerable.exe的恶意程序。当服务启动时我们的恶意程序会以服务权限被执行。利用步骤使用sc qc或WinPEAS查找未用引号包裹且包含空格的服务路径。检查空格前的目录如C:\或C:\Program Files\的写入权限。在可写位置创建恶意可执行文件文件名与空格前的路径段同名如Program.exe。重启服务或等待系统重启。5.3 服务权限与访问控制漏洞服务的配置信息存储在注册表中HKLM\SYSTEM\CurrentControlSet\Services\[服务名]。如果低权限用户对这些注册表键拥有WRITE_DAC或WRITE_OWNER等写入权限就可以修改服务的配置例如将其二进制路径指向我们的恶意程序。检查与利用使用accesschk.exe -kvw [用户名] HKLM\SYSTEM\CurrentControlSet\Services来枚举当前用户有写入权限的服务注册表键。如果找到可以使用reg add命令修改ImagePath值指向恶意程序然后重启服务。实操心得在内部网络渗透测试中基于服务配置错误的提权远比远程漏洞利用常见。自动化脚本如PowerUp的Get-ModifiableServiceFile和Get-ModifiableService函数能快速发现这类问题。记住修改系统服务可能影响业务稳定性在授权测试中操作前务必评估风险并最好在测试窗口期进行。6. 基于计划任务与自动启动项的提权Windows提供了多种在特定时间或事件触发时自动运行程序的方法。如果这些任务或启动项指向的文件/目录权限配置不当同样可以成为提权的跳板。6.1 计划任务分析计划任务由任务计划程序管理。我们可以检查是否有计划任务以高权限运行但其执行的操作如运行脚本、可执行文件或工作目录当前用户可写。检查命令schtasks /query /fo LIST /v以详细格式列出所有计划任务。关注运行用户身份和任务运行字段。查看具体任务schtasks /query /tn “[任务名]” /fo LIST /v检查任务执行的命令或脚本文件路径的权限。利用场景可写的任务操作如果任务运行一个批处理文件.bat或PowerShell脚本.ps1而该脚本当前用户可写我们可以直接修改脚本内容插入恶意命令。可写的工作目录如果任务的“起始于”目录可写并且任务执行时会在该目录下寻找或生成文件可能通过DLL劫持或放置恶意同名文件来利用。6.2 启动文件夹与注册表自动运行项系统或用户在登录时会自动运行一些程序这些位置也值得关注。启动文件夹当前用户%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup所有用户%ProgramData%\Microsoft\Windows\Start Menu\Programs\StartUp注册表自动运行键HKCU\Software\Microsoft\Windows\CurrentVersion\RunHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunHKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run(32位程序在64位系统)...\RunOnce,...\RunServicesOnce等。检查与利用 检查这些文件夹的写入权限或检查当前用户对上述注册表键是否有写入权限。如果可以写入就可以添加一个指向我们恶意程序的条目当用户下次登录或系统启动时程序将以相应用户的权限执行当前用户启动文件夹是用户权限所有用户启动文件夹或HKLM注册表键通常是高权限。注意修改所有用户的启动项或HKLM注册表键通常需要重启或注销/登录才能生效在渗透测试中可能不够及时。7. 基于DLL劫持与搜索顺序的提权DLL劫持是一种古老但依然有效的技术它利用了Windows应用程序加载动态链接库时的搜索顺序。如果一个高权限的应用程序尝试加载一个DLL而我们在其搜索路径中更早的位置放置了一个同名的恶意DLL那么我们的DLL就会被加载并执行。7.1 Windows DLL搜索顺序对于一个未指定完整路径的DLL应用程序会按以下顺序搜索可能会受SafeDllSearchMode等设置影响应用程序所在的目录。系统目录C:\Windows\System32。16位系统目录C:\Windows\System。Windows目录C:\Windows。当前工作目录。PATH环境变量中列出的目录。7.2 寻找劫持机会可写目录在搜索顺序前列这是最常见的情况。例如一个以SYSTEM运行的服务其二进制文件在C:\Program Files\App\但它的“起始目录”或当前工作目录被设置为一个低权限用户可写的目录如C:\Temp。如果该服务加载一个名为version.dll的库它会先在C:\Temp中寻找。我们只需在C:\Temp中放置一个恶意的version.dll。缺失的DLL如果应用程序尝试加载一个根本不存在的DLL那么搜索会遍历所有目录直到失败。如果其中一个目录可写我们就可以创建那个缺失的DLL文件。PATH环境变量中的可写目录如果用户尤其是高权限用户的PATH环境变量中包含一个全局可写目录早年常见现在较少那么任何未指定路径的DLL加载都可能被劫持。工具辅助 使用Process Monitor可以监控进程的DLL加载行为快速发现潜在的劫持点。过滤进程名然后观察Load Image操作结果是否为NAME NOT FOUND或路径是否在可写目录。利用步骤发现一个高权限进程服务、计划任务等存在DLL劫持漏洞。使用MSF的msfvenom或自己编写一个恶意DLL。这个DLL需要导出目标进程所需的所有函数可以简单转发到原始DLL并在DllMain中执行我们的payload。将恶意DLL放置到劫持路径中。触发进程重启或重新加载DLL有时需要重启服务或等待计划任务触发。注意事项现代Windows版本和受保护的进程对DLL加载有更多限制。杀毒软件也会监控常见的DLL劫持行为。制作恶意DLL时需要考虑绕过这些防护。8. 基于凭证窃取与令牌操纵的提权有时候提权不需要运行新的代码而是直接“借用”系统中已存在的高权限令牌。8.1 凭证转储如果当前用户具有SeDebugPrivilege权限通常管理员有就可以读取其他进程的内存包括存储明文密码、哈希和票据的lsass.exe进程。Mimikatz这是最著名的凭证提取工具。经典命令sekurlsa::logonpasswords可以提取内存中的明文密码、NTLM哈希、Kerberos票据等。但现代Windows Defender等安全产品会实时监控并阻止Mimikatz的运行。Procdump Mimikatz离线分析更隐蔽的方式是使用微软官方的procdump.exe将lsass进程的内存转储到磁盘procdump -ma lsass.exe lsass.dmp。然后将dump文件下载到攻击机在本地使用Mimikatz离线分析mimikatz # sekurlsa::minidump lsass.dmpmimikatz # sekurlsa::logonpasswords。其他工具如SafetyKatz、SharpKatz、PPLdump等都是为绕过防护而生的工具变种。获取到高权限用户的哈希后可以通过Pass-The-Hash攻击横向移动或者如果破解出明文密码则可以直接登录。8.2 令牌模拟与窃取Windows的令牌模拟机制允许线程在特定上下文中采用另一个用户的安全上下文。如果当前进程拥有SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege就可以模拟其他用户的令牌。Rotten Potato / Juicy Potato这是一系列利用COM/DCOM/NTLM认证流程进行令牌模拟的提权工具。其核心原理是诱使一个更高权限的进程如SYSTEM向攻击者控制的RPC服务器进行认证攻击者捕获这个认证过程并模拟该令牌。这些工具通常需要SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege。Juicy Potato通过指定不同的CLSID来增加成功率。PrintSpoofer一个更新的工具利用打印机后台处理程序服务相关的命名管道和身份验证机制在拥有SeImpersonatePrivilege时直接从本地服务账户提升到SYSTEM。它在很多现代Windows服务器上仍然有效。手动令牌窃取使用Metasploit的incognito模块或独立的incognito.exe工具可以列出当前系统上的可用令牌并直接窃取它们来创建新进程。例如窃取一个域管理员的令牌然后以他的身份执行命令。实操心得在Windows Server上IIS应用程序池账户、SQL Server服务账户等经常被授予SeImpersonatePrivilege。一旦获得这些账户的权限使用PrintSpoofer或Juicy Potato提权到SYSTEM的成功率非常高。这已经成为Web应用渗透后获取服务器系统权限的“标准操作流程”之一。9. 其他常见提权路径与杂项技巧除了上述主要类别还有一些零散但实用的提权方法。9.1 AlwaysInstallElevated策略这是一个组策略设置如果启用任何用户都可以以SYSTEM权限安装MSI包。这显然是非常危险的配置。检查方法注册表检查HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer\AlwaysInstallElevated和HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer\AlwaysInstallElevated是否都设置为1。使用PowerUpGet-RegistryAlwaysInstallElevated使用WinPEAS它会自动检查并标记。利用方法使用msfvenom生成一个恶意的MSI安装包msfvenom -p windows/adduser USERbackdoor PASSBackdoor123! -f msi -o evil.msi在目标机上运行msiexec /quiet /qn /i evil.msi恶意操作如添加用户将以SYSTEM权限执行。9.2 可写的系统路径与程序检查C:\Windows\System32、C:\Windows\SysWOW64等系统目录是否全局可写极不可能但历史上出现过漏洞。更常见的是检查C:\Windows\Temp、C:\Windows\Tasks等目录虽然它们通常可写但默认情况下以中等完整性运行的程序无法直接在这里创建高完整性进程。9.3 不安全的GUI应用程序与辅助功能劫持某些情况下高权限的GUI应用程序如辅助工具可能会在登录界面或锁定屏幕时以SYSTEM权限运行。如果这些应用程序的二进制文件可被替换或配置可被修改就可能实现提权。经典的例子是Utilman.exe轻松使用和sethc.exe粘滞键的替换。利用方法以sethc为例需物理接触或特殊权限在系统启动时进入恢复环境或使用安装介质启动。将C:\Windows\System32\sethc.exe替换为cmd.exe的副本。重启进入正常系统在登录界面连续按5次Shift键。本应启动粘滞键但实际会弹出以SYSTEM权限运行的命令提示符。现代Windows通过受信任的安装程序保护和文件保护机制使得这种替换在正常系统运行时变得非常困难。10. 提权后的操作与权限维持成功提权到SYSTEM或Administrator后工作并未结束。你需要巩固战果并建立持久化的访问通道。10.1 权限维持技术创建隐藏账户虽然net user创建的账户容易被发现但可以通过修改注册表SAMhive创建完全隐藏的账户或者给现有账户如默认的Guest账户添加管理员权限并激活。SSH公钥注入如果服务器开启了OpenSSH服务将你的公钥添加到Administrator用户的authorized_keys文件中。计划任务创建一个以SYSTEM权限定期运行的计划任务执行你的后门程序。服务持久化安装一个新的服务或者修改一个现有不常用服务的二进制路径指向你的后门。注册表自动运行项在HKLM下的Run键中添加你的后门程序路径。WMI事件订阅这是一种非常隐蔽的持久化方式。创建一个WMI事件过滤器如特定时间间隔、用户登录和消费者执行你的payload将两者绑定。系统会在事件触发时以SYSTEM权限执行你的代码。COM劫持劫持系统或用户经常使用的COM组件使其加载你的恶意DLL。10.2 清理痕迹与防御规避在授权测试中清理痕迹可能不是必须的但了解攻击者如何做有助于防御。清除日志使用wevtutil命令清除安全日志、系统日志、PowerShell操作日志等。例如wevtutil cl Security。使用时间戳修改工具将你创建或修改的文件的时间戳恢复成与周围文件类似的时间避免基于时间线的取证分析。使用内存执行或无文件技术尽可能避免在磁盘上留下可执行文件。使用PowerShell、WMI、DotNetToJScript等技术在内存中加载和执行payload。禁用安全产品在获取足够权限后可能会尝试禁用防病毒软件、EDR代理或Windows Defender的实时保护需谨慎极易触发警报。11. 防御视角如何防范提权攻击作为防御者或系统管理员理解攻击技术是为了更好地防护。最小权限原则给用户和服务分配完成任务所需的最小权限。避免给普通用户或服务账户授予SeDebugPrivilege、SeImpersonatePrivilege等危险特权。及时更新与补丁管理建立严格的补丁管理流程及时安装安全更新尤其是针对公开漏洞的补丁。安全的服务配置确保服务二进制文件及其所在目录的权限严格只有SYSTEM和TrustedInstaller有完全控制权。始终用引号包裹包含空格的服务路径。定期审计服务账户避免使用高权限账户运行非关键服务。强化计划任务与启动项审查所有自动运行项确保其指向的文件和目录权限安全。启用并监控安全功能用户账户控制保持UAC在默认或更高级别。Windows Defender Credential Guard防止凭据盗窃攻击。受控文件夹访问防止关键目录被未授权程序修改。攻击面减少规则阻止Office宏、脚本执行等。应用程序控制使用AppLocker或Windows Defender Application Control来定义允许运行的应用程序白名单。凭证保护使用LAPS管理本地管理员密码。实施强密码策略和多重认证。限制具有SeDebugPrivilege的用户。持续监控与审计启用并集中收集安全日志4688进程创建、4697服务安装、4702计划任务创建等。使用Sysmon等工具进行深度进程监控。部署EDR/NDR解决方案检测异常行为如异常的进程父子关系、令牌窃取、LSASS内存读取等。Windows提权是一场永不停歇的攻防博弈。攻击技术在进化防御体系也在不断完善。对于安全从业者而言深入理解这些技术的原理不仅能让你在渗透测试中游刃有余更能让你在设计安全架构、响应安全事件时洞察先机。真正的安全源于对攻防双方深刻的理解。
