内网渗透：Windows 提权实战

Sat, 29 Aug 2026 18:30:00 +0800

写在前面：合法学习边界

提权测试只允许在授权靶场或授权主机进行。对真实系统提权、利用内核漏洞可能触犯法律。

一、漏洞原理

拿到一个 Windows 低权限 Shell 后，目标是提升到 SYSTEM/Administrator。Windows 提权大多利用“服务/配置跑在高权限上，却可以被低权限用户控制”这类问题。

常见提权面：

1
2
3
4
5
6


不安全的服务（可写二进制、可写服务路径、未引用的服务路径）
注册表 AlwaysInstallElevated（MSI 以 SYSTEM 安装）
令牌模拟（SeImpersonatePrivilege → Potato 系列）
可写启动文件夹 / 计划任务
DLL 劫持
内核漏洞

二、影响与危害

1
2
3


低权限 → SYSTEM/管理员
控制主机、横向移动
抓取更多凭据

风险等级：高。

三、利用 / 复现

第一步：收集信息

1
2
3
4
5
6
7
8
9


whoami /all :: 用户与权限（看 SeImpersonatePrivilege）
:: 解释：SeImpersonatePrivilege 是 Potato 系列提权的前提
systeminfo :: 系统版本与补丁
:: 解释：核对补丁找缺失 CVE
sc qc <服务名> :: 服务配置
:: 解释：看服务二进制路径/运行账号，判断能否替换
wmic service get name,pathname,startname :: 服务二进制路径
reg query HKCU\Software\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
:: 解释：值为 1 时 MSI 会以 SYSTEM 安装，可用来提权

第二步：不安全的服务

1
2
3


1. 找服务路径可写或引用的二进制可被替换
2. 替换成恶意程序（如创建管理员用户）
3. 重启/触发服务 → 以 SYSTEM 执行

未引用服务路径：

1
2


# 服务路径含空格且未加引号，可放同名恶意文件到前面目录
sc start <服务名>

第三步：AlwaysInstallElevated

1
2
3


# 注册表值为 1 时，MSI 以 SYSTEM 安装
msfvenom -p windows/... -f msi -o evil.msi
msiexec /quiet /i evil.msi

第四步：令牌模拟（Potato 系列）

1
2


拥有 SeImpersonatePrivilege（服务账号常见）时
用 Potato（Juicy/Rogue/LoneWolf）提权到 SYSTEM

第五步：内核漏洞

1
2


systeminfo 看补丁 → 对缺失补丁查 CVE
只在授权环境用，先评估稳定性

四、检测

1
2
3
4


服务二进制/路径权限异常（可被低权限修改）
注册表 AlwaysInstallElevated 被开启
高权限服务运行账号可疑
补丁严重缺失、版本过旧

五、防御

1
2
3
4
5


服务二进制用受控目录并收紧 ACL
关闭 AlwaysInstallElevated
服务账号最小权限，不随意给 SeImpersonate
及时打补丁
EDR 监控提权行为（Potato、服务替换）

六、加固（修复）

1
2
3
4
5


修复不安全服务路径与权限
关闭 AlwaysInstallElevated
清理提权工具与后门账户
补装补丁
对已提权主机取证

七、小结

Windows 提权核心是“谁在高权限下运行、低权限用户能不能碰它”。先看 whoami /all 和 sc qc，再决定走服务替换、注册表、Potato 还是内核漏洞。和 Linux 提权一样，先信息收集再动手。

权限提升 on SoulJian小站