Windows提权实战：计划任务与服务漏洞利用技巧

1. Windows提权速胜技巧解析在渗透测试和红队行动中Windows系统提权(Privilege Escalation)是最关键的环节之一。当获得初始立足点后快速从普通用户提升到SYSTEM或管理员权限往往能决定整个行动的成败。本文将分享几个实战中验证有效的Windows提权速胜技巧这些方法在TryHackMe等CTF平台和真实环境中都屡试不爽。2. 计划任务漏洞利用2.1 schtasks命令滥用计划任务(Scheduled Tasks)是Windows提权的经典突破口。通过schtasks命令可以查看系统中配置的所有计划任务schtasks /query /fo LIST /v重点关注以下特征的任务运行身份为SYSTEM或管理员触发器设置为登录时或系统启动时操作指向可修改的脚本或可执行文件注意某些系统会显示schtasks 错误: 无法加载列资源这通常意味着权限不足或系统语言包问题可以尝试添加/nh参数跳过表头。2.2 实战案例可写任务劫持假设发现一个以SYSTEM权限运行的清理任务任务名: \Microsoft\Windows\Cleanup 运行方式: SYSTEM 任务执行: C:\Program Files\Cleanup\clean.exe检查目标文件权限icacls C:\Program Files\Cleanup\clean.exe如果显示BUILTIN\Users:(F)(完全控制)可直接替换该exe文件copy /y C:\malware.exe C:\Program Files\Cleanup\clean.exe等待任务触发或手动重启系统即可获得SYSTEM shell。3. 服务配置漏洞挖掘3.1 服务权限审计Windows服务是另一个常见提权点使用以下命令枚举服务配置sc query state all | findstr SERVICE_NAME wmic service get name,displayname,pathname,startmode | findstr /i auto重点关注启动类型为自动的服务二进制路径包含空格且无引号路径指向可写目录3.2 服务路径劫持当发现类似以下配置时C:\Program Files\Vulnerable Service\service.exe -start检查路径权限icacls C:\Program Files\Vulnerable Service如果Users组有写权限可以创建恶意service.exe文件然后重启服务sc stop Vulnerable Service sc start Vulnerable Service4. 注册表提权技巧4.1 自动运行项检查注册表中的自动运行项常被忽视reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run reg query HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run4.2 映像劫持检查映像劫持配置reg query HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options如果发现可写项可以劫持常见管理工具如sethc.exe (粘滞键)utilman.exe (轻松访问)osk.exe (屏幕键盘)5. 文件系统权限滥用5.1 icacls深度利用icacls是Windows权限审计的神器递归检查关键目录icacls C:\Windows\System32\*.exe /T /C | findstr (F) icacls C:\Program Files\* /T /C | findstr (F)5.2 可写服务DLL某些服务会加载可写的DLL文件使用Process Monitor可以捕捉这些加载行为。发现后可制作恶意DLL进行替换copy /y evil.dll C:\Windows\System32\vuln.dll sc stop DepSvc sc start DepSvc6. 环境变量劫持6.1 PATH变量检查查看系统PATH变量echo %PATH%如果包含可写目录可以将恶意程序放在这些目录中并命名为常见管理工具如ping.exe、net.exe等。6.2 临时目录滥用检查临时目录权限icacls %TEMP% icacls C:\Windows\Temp高权限进程有时会从这些目录加载文件可尝试放置恶意文件等待系统或管理员进程调用。7. 其他快速提权技巧7.1 未引用的服务路径当服务路径包含空格但未用引号包裹时Windows会按空格分隔尝试执行。例如C:\Program Files\Some Folder\Service.exe系统会依次尝试C:\Program.exeC:\Program Files\Some.exeC:\Program Files\Some Folder\Service.exe如果在可写位置放置恶意Program.exe文件服务启动时将执行该文件。7.2 AlwaysInstallElevated检查注册表项reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated如果两项都设置为1可以使用msi包直接提权msiexec /quiet /qn /i C:\evil.msi8. 防御与检测建议8.1 系统加固措施定期审计计划任务和服务配置使用组策略限制普通用户的schtasks和sc命令使用对系统目录和关键注册表项设置严格ACL8.2 监控建议监控敏感目录的文件创建/修改事件记录服务启动/停止日志启用Windows审计策略中的对象访问审计在实际渗透测试中这些方法往往需要组合使用。我遇到过最棘手的系统需要连续利用服务路径计划任务DLL劫持三种技术才能最终提权成功。关键是要有耐心逐步收集信息像拼图一样把各个漏洞点连接起来。