获课：aixuetang.xyz/23296/

在Windows系统的内网渗透与攻防演练中，从低权限用户提升至管理员或SYSTEM权限是获取系统控制权的关键环节。攻击者通常通过挖掘系统配置缺陷、滥用高权限机制以及利用内核漏洞来实现这一目标。以下是几种经典的本地提权实战思路。

首先是服务路径劫持提权。Windows系统中的许多后台服务默认以SYSTEM最高权限运行。如果低权限用户拥有修改某个第三方服务注册表项的权限，便可通过篡改服务的启动路径（ImagePath）实现提权。攻击者将原本合法的可执行文件路径替换为恶意后门程序，当该服务被重启时，恶意程序便会“子凭母贵”，继承原服务的SYSTEM权限运行，从而完成权限跃升。

其次是利用未引用的服务路径漏洞（Unquoted Service Path）。这源于Windows早期解析文件路径时的一个逻辑缺陷：当服务配置的可执行文件路径包含空格且未被双引号包裹时，系统在启动时会逐级尝试截断路径并寻找可执行文件。如果攻击者能够在这些截断路径（如C:\Program Files\Common.exe）下写入同名的恶意程序，系统便会优先以高权限执行该恶意载荷。

第三种是利用Token窃取机制。在多用户环境或域环境中，高权限用户（如Administrator）登录后可能会留下处于活动状态的访问令牌（Token）。攻击者若具备调试程序权限（SeDebugPrivilege），便可借助专用工具枚举系统中所有活跃的令牌，并通过模拟（Impersonation）技术直接接管高权限用户的上下文，从而瞬间获得相应的管理权限。

第四种是滥用映像劫持（IFEO）。这是Windows原生预留的程序调试功能。攻击者可在特定的注册表目录下为常用的系统程序（如记事本、任务管理器）添加调试器键值（Debugger）。虽然这种方式本身不能直接提升当前用户的权限上限，但它具有极强的隐蔽性和持久化能力。一旦管理员或被劫持程序的触发者打开正常软件，系统就会自动执行攻击者预设的恶意代码。

最后，针对存在已知安全漏洞的系统版本，利用内核级漏洞是直接的提权手段。例如Potato系列、PrintSpoofer等漏洞利用技术，能够绕过常规的安全访问控制列表（DACL），强制欺骗系统核心组件生成SYSTEM级别的令牌。

在实际的防御体系中，企业应严格遵循最小权限原则，定期审计服务注册表与文件夹权限，及时修补系统补丁，并部署终端检测与响应（EDR）系统，以有效阻断上述提权行为的发生。