Windows提权技术全解析：从权限模型到实战攻防

1. 项目概述：为什么Windows提权是攻防对抗的核心战场

在网络安全领域，尤其是渗透测试和红队评估中，获取目标系统的更高权限是突破防御纵深、扩大战果的关键一步。Windows系统作为全球最主流的桌面和服务器操作系统，其权限提升技术自然成为了攻防双方研究的焦点。所谓“提权”，简单来说，就是从一个较低权限的用户账户（例如普通用户、服务账户）升级到更高权限账户（通常是SYSTEM或Administrator）的过程。这不仅仅是获取一个“管理员”标签，而是意味着你能完全控制系统，执行任意代码、访问所有文件、修改关键配置，甚至将攻击触角延伸到整个域网络。

我见过太多场景，一次成功的初始入侵（比如通过钓鱼邮件拿到一个普通用户权限）因为无法提权而止步不前，最终被防守方发现并清除。反过来，一次看似普通的漏洞利用，配合巧妙的提权手法，就能让攻击者瞬间掌控整个服务器。因此，无论是为了评估系统安全性，还是理解攻击者视角以构建更坚固的防御，深入掌握Windows提权技术都至关重要。这份指南将从最基础的原理讲起，一直深入到高级实战技巧，目标是让你不仅能复现这些技术，更能理解其背后的“为什么”，从而具备独立分析和应对新威胁的能力。

2. 提权基础：理解Windows权限模型与核心概念

在动手之前，我们必须打好地基。Windows的权限体系远比“用户”和“管理员”复杂，理解它是所有提权技术的出发点。

2.1 用户账户控制与访问令牌

自Windows Vista引入的用户账户控制是微软在安全上的一次重要尝试。它的核心思想是，即使你是管理员组成员，大部分操作也只在标准用户权限下运行。当你需要执行特权操作时，UAC会弹出提示要求你确认。这实际上创建了两个访问令牌：一个受限的标准用户令牌和一个完整的管理员令牌。只有经过“同意”后，进程才会使用完整令牌运行。对于攻击者而言，绕过或利用UAC是本地提权的一条常见路径。

比用户身份更核心的概念是访问令牌。你可以把它想象成进程的“身份证”，里面包含了用户的安全标识符、所属组、特权列表以及完整性级别等信息。当进程尝试访问一个资源（如文件、注册表键）时，系统会检查该进程令牌中的SID和权限，与资源的安全描述符进行比对。提权的本质，就是想方设法为我们的进程获取一个包含更高权限SID或特权的令牌。

2.2 特权与完整性级别

Windows定义了一系列具体的特权，例如SeDebugPrivilege（调试程序）、SeBackupPrivilege（备份文件）等。这些特权是细粒度的能力授权。一个用户即使不是管理员，也可能被授予某些特权。在提权中，我们常常寻找被错误分配的特权，例如一个服务账户拥有SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege，这通常意味着 impersonation 提权的大门已经敞开。

完整性级别是Windows Vista后引入的强制完整性控制机制，用于隔离不同信任级别的进程和对象。它分为六级：不可信、低、中、高、系统、受信任的安装程序。默认情况下，用户进程运行在“中”完整性级别，而需要特权的操作（如修改系统目录）则要求“高”或“系统”级别。MIC通过阻止低完整性进程向高完整性进程写入数据，来防御一部分攻击。因此，提权也常常伴随着完整性级别的提升。

2.3 常见提权路径分类

根据起点和目标，我们可以将提权路径做一个清晰的分类，这有助于我们在实战中快速定位方向：

1. 用户账户到管理员账户：这是最经典的场景。你通过某种方式（如密码猜测、漏洞利用）获得了一个标准用户shell，目标是加入Administrators组或获取同等权限。
2. 管理员账户到SYSTEM账户：在渗透测试中，有时你拿到的是管理员权限，但某些操作（如转储LSASS进程内存获取凭证）需要NT AUTHORITY\SYSTEM权限。从管理员到SYSTEM通常更直接。
3. 服务账户到SYSTEM/管理员：Windows上大量应用以后台服务形式运行。这些服务可能以LOCAL SERVICE、NETWORK SERVICE或自定义账户运行。如果这些服务存在漏洞（如二进制文件权限配置错误、可写路径等），就可能实现从服务账户到更高权限的跃迁。
4. 绕过用户账户控制：在已登录的管理员会话中，以非提升的权限运行，需要在不触发UAC弹窗或用户交互的情况下，获得一个高完整性级别的进程。

注意：所有提权技术的讨论和学习，必须严格限定在授权测试环境或自己完全控制的实验环境中进行。未经授权对他人的系统进行提权尝试是非法行为。

3. 信息收集：提权前的侦察与自动化工具

提权不是盲目地运行漏洞利用代码，而是一个基于信息分析的定向过程。在获得初始立足点后，系统性的信息收集是成功的第一步。

3.1 手动信息收集命令

在命令行下，有一系列内置命令可以帮助我们快速绘制系统权限地图：

• 系统与用户信息：
  • whoami /all：这是你的“起手式”。它能显示当前用户名称、SID、所属组以及该用户被授予的所有特权。特别关注“已启用”的特权。
  • net user [username]和net localgroup administrators：查看特定用户的详细信息，以及本地管理员组有哪些成员。
  • systeminfo：获取详细的系统信息，包括OS版本、补丁级别、主机名等，用于寻找未修复的漏洞。
• 网络与进程信息：
  • netstat -ano：查看网络连接和监听端口，结合tasklist /svc可以找出运行服务的进程，定位潜在的攻击面。
  • tasklist /v或Get-Process：查看运行进程的详细信息，特别是运行账户。
• 权限与配置审计：
  • icacls或cacls：检查文件和目录的详细权限设置。重点关注可执行文件、脚本、配置文件是否对当前用户可写。
  • accesschk.exe（Sysinternals套件）：比icacls更强大的工具，可以轻松枚举用户或组对文件、注册表、服务的访问权限。
  • sc qc [servicename]：查询服务的详细配置，包括二进制路径、启动账户、依赖关系等。

3.2 自动化信息收集脚本

手动命令效率较低，实战中我们更依赖自动化脚本。这些脚本能系统性地枚举大量信息，并高亮显示潜在的脆弱点。

• WinPEAS：这是目前最强大、最活跃的Windows本地提权枚举脚本。它有.bat和.exe版本，能检查系统信息、用户权限、服务配置、计划任务、安装的软件、驱动程序、AlwaysInstallElevated设置、自动运行程序、凭证存储等数十个类别。它会用颜色标记“Interesting Files”、“Vulnerable Services”等，输出非常直观。
• Windows-Exploit-Suggester：这个工具通常运行在攻击机上。它接收从目标机systeminfo命令的输出，然后对比本地数据库，快速列出该系统可能缺失的补丁及对应的公开漏洞利用代码。
• PowerUp：PowerSploit框架的一部分，用PowerShell编写。它专注于检查常见的错误配置提权路径，如可写服务二进制文件、服务中的非引用服务路径、AlwaysInstallElevated、计划任务、注册表自动运行项等。其Invoke-AllChecks函数可以一键运行所有检查模块。
• Seatbelt：另一个功能丰富的C#信息收集工具，模块化设计，可以收集系统信息、凭证、日志、防火墙规则等。

实操心得：在实际渗透中，我通常会先上传并运行WinPEAS，因为它覆盖最全。同时，我会手动运行whoami /priv和systeminfo作为快速参考。如果环境限制脚本执行，再退而求其次，使用前面提到的手动命令组合进行“盲枚举”。永远不要只依赖一个工具，交叉验证是关键。

4. 基于系统漏洞的提权：内核与驱动攻防

这是最“传统”的提权方式：利用操作系统内核或驱动程序中的安全漏洞（如缓冲区溢出、逻辑缺陷），直接在内核态执行代码，从而突破权限限制。这类提权通常稳定、直接，但高度依赖于系统是否安装了相应的安全补丁。

4.1 漏洞利用流程与工具链

1. 信息收集确定补丁水平：通过systeminfo查看系统版本和已安装的补丁列表。重点关注KB编号。
2. 匹配漏洞：将系统信息输入到如Windows-Exploit-Suggester、wesng等工具中，或手动查阅公开的漏洞库，寻找适用于该系统的本地提权漏洞。
3. 选择利用代码：在Exploit-DB、GitHub等平台寻找公开的利用代码。常见的经典漏洞包括：
   • CVE-2021-1675 / CVE-2021-34527：PrintNightmare，Windows打印后台处理程序服务漏洞，影响范围极广。
   • CVE-2021-1732：Windows Win32k内核驱动漏洞。
   • CVE-2019-0808：Win32k中的类型混淆漏洞。
   • CVE-2018-8120：Win32k中的空指针解引用漏洞。
4. 编译与执行：公开的利用代码通常是C/C++或Python编写。你需要根据目标系统架构（x86/x64）进行交叉编译，或者使用Python在目标机直接运行（如果安装了Python环境）。务必在相同版本和补丁级别的实验环境中测试成功后再用于授权目标。
5. 获取Shell：成功的漏洞利用通常会启动一个以SYSTEM权限运行的命令提示符或反向Shell。

4.2 实战案例：利用PrintNightmare提权

以PrintNightmare为例，简述其利用过程（仅用于原理学习）：

1. 确认漏洞存在：目标系统为Windows Server 2019，未安装2021年6月及之后的累积更新。
2. 准备恶意DLL：创建一个包含payload的DLL文件，该DLL导出一个函数PrintDriverFind。Payload可以是添加用户、执行命令等。
3. 搭建SMB共享：在攻击机上，将包含恶意DLL的目录进行SMB共享。这是为了模拟攻击者控制的“远程打印机驱动”仓库。
4. 触发漏洞：在目标机上，使用PowerShell或rundll32.exe调用spoolsv.exe（打印后台处理程序服务）的相关功能，指定驱动路径为我们攻击机上的SMB共享路径。由于服务运行在SYSTEM权限，且漏洞存在于驱动安装验证逻辑中，服务会加载并执行我们的恶意DLL。
5. 结果：恶意DLL以SYSTEM权限执行，成功创建管理员用户或返回SYSTEM权限的Shell。

注意事项：

• 防病毒绕过：公开的利用代码和生成的恶意DLL极易被防病毒软件检测。在实战中可能需要自定义代码、进行混淆或加密。
• 稳定性风险：内核漏洞利用可能导致系统蓝屏崩溃。在生产环境或重要的测试目标上使用需极其谨慎。
• 补丁与缓解措施：微软已发布相关补丁，并提供了禁用Point and Print限制策略等缓解措施。新系统上此类漏洞利用成功率已大大降低。

5. 基于服务配置错误的提权：权限滥用与劫持

这是在实际环境中成功率非常高的一类提权方法，它不依赖于未打补丁的漏洞，而是利用系统或管理员在配置服务、计划任务时的疏忽。

5.1 可写服务二进制文件与路径劫持

Windows服务由服务控制管理器管理，每个服务都有一个指向可执行文件的二进制路径。如果这个路径对应的文件或目录权限设置不当，低权限用户能够修改或替换它，那么当下次服务重启时（或触发某些操作时），我们的恶意代码就会以服务账户（通常是SYSTEM）权限运行。

检查方法：

• 使用sc qc [服务名]查看服务的BINARY_PATH_NAME。
• 使用icacls或accesschk.exe -wvuc [用户名] [文件或目录路径]检查该路径的权限。如果当前用户对该文件有F（完全控制）或W（写入）权限，则存在风险。

利用步骤：

1. 确认一个以SYSTEM或高权限账户运行的服务，其二进制文件路径当前用户可写。
2. 备份原始文件（可选，出于职业道德）。
3. 将二进制文件替换为我们的恶意可执行文件（例如，一个添加用户或反弹Shell的程序）。或者，如果目录可写但文件不可写，可以尝试DLL劫持：在服务二进制文件同级目录或系统PATH中放置一个同名的恶意DLL。
4. 重启服务。如果服务无法重启，可以等待系统重启或尝试崩溃该服务以触发自动恢复（如果配置了的话）。

5.2 非引用服务路径漏洞

这是服务配置错误中一个非常经典的子类。当服务的二进制路径被空格分隔，且未被引号包裹时，Windows SCM会按顺序尝试解析和执行。

例如：BINARY_PATH_NAME = C:\Program Files\Vulnerable App\service.exe

如果路径是C:\Program Files\Vulnerable App\service.exe，SCM会依次尝试：

1. C:\Program.exe
2. C:\Program Files\Vulnerable.exe
3. C:\Program Files\Vulnerable App\service.exe

如果当前用户对C:\或C:\Program Files\有写入权限，就可以在相应位置放置一个名为Program.exe或Vulnerable.exe的恶意程序。当服务启动时，我们的恶意程序会以服务权限被执行。

利用步骤：

1. 使用sc qc或WinPEAS查找未用引号包裹且包含空格的服务路径。
2. 检查空格前的目录（如C:\或C:\Program Files\）的写入权限。
3. 在可写位置创建恶意可执行文件，文件名与空格前的路径段同名（如Program.exe）。
4. 重启服务或等待系统重启。

5.3 服务权限与访问控制漏洞

服务的配置信息存储在注册表中（HKLM\SYSTEM\CurrentControlSet\Services\[服务名]）。如果低权限用户对这些注册表键拥有WRITE_DAC或WRITE_OWNER等写入权限，就可以修改服务的配置，例如将其二进制路径指向我们的恶意程序。

检查与利用：

• 使用accesschk.exe -kvw [用户名] HKLM\SYSTEM\CurrentControlSet\Services来枚举当前用户有写入权限的服务注册表键。
• 如果找到，可以使用reg add命令修改ImagePath值，指向恶意程序，然后重启服务。

实操心得：在内部网络渗透测试中，基于服务配置错误的提权远比远程漏洞利用常见。自动化脚本如PowerUp的Get-ModifiableServiceFile和Get-ModifiableService函数能快速发现这类问题。记住，修改系统服务可能影响业务稳定性，在授权测试中操作前务必评估风险，并最好在测试窗口期进行。

6. 基于计划任务与自动启动项的提权

Windows提供了多种在特定时间或事件触发时自动运行程序的方法。如果这些任务或启动项指向的文件/目录权限配置不当，同样可以成为提权的跳板。

6.1 计划任务分析

计划任务由任务计划程序管理。我们可以检查是否有计划任务以高权限运行，但其执行的操作（如运行脚本、可执行文件）或工作目录当前用户可写。

检查命令：

• schtasks /query /fo LIST /v：以详细格式列出所有计划任务。关注运行用户身份和任务运行字段。
• 查看具体任务：schtasks /query /tn “[任务名]” /fo LIST /v
• 检查任务执行的命令或脚本文件路径的权限。

利用场景：

1. 可写的任务操作：如果任务运行一个批处理文件.bat或PowerShell脚本.ps1，而该脚本当前用户可写，我们可以直接修改脚本内容，插入恶意命令。
2. 可写的工作目录：如果任务的“起始于”目录可写，并且任务执行时会在该目录下寻找或生成文件，可能通过DLL劫持或放置恶意同名文件来利用。

6.2 启动文件夹与注册表自动运行项

系统或用户在登录时会自动运行一些程序，这些位置也值得关注。

• 启动文件夹：
  • 当前用户：%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup
  • 所有用户：%ProgramData%\Microsoft\Windows\Start Menu\Programs\StartUp
• 注册表自动运行键：
  • HKCU\Software\Microsoft\Windows\CurrentVersion\Run
  • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  • HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run(32位程序在64位系统)
  • ...\RunOnce,...\RunServicesOnce等。

检查与利用： 检查这些文件夹的写入权限，或检查当前用户对上述注册表键是否有写入权限。如果可以写入，就可以添加一个指向我们恶意程序的条目，当用户下次登录或系统启动时，程序将以相应用户的权限执行（当前用户启动文件夹是用户权限，所有用户启动文件夹或HKLM注册表键通常是高权限）。

注意：修改所有用户的启动项或HKLM注册表键通常需要重启或注销/登录才能生效，在渗透测试中可能不够及时。

7. 基于DLL劫持与搜索顺序的提权

DLL劫持是一种古老但依然有效的技术，它利用了Windows应用程序加载动态链接库时的搜索顺序。如果一个高权限的应用程序尝试加载一个DLL，而我们在其搜索路径中更早的位置放置了一个同名的恶意DLL，那么我们的DLL就会被加载并执行。

7.1 Windows DLL搜索顺序

对于一个未指定完整路径的DLL，应用程序会按以下顺序搜索（可能会受SafeDllSearchMode等设置影响）：

1. 应用程序所在的目录。
2. 系统目录（C:\Windows\System32）。
3. 16位系统目录（C:\Windows\System）。
4. Windows目录（C:\Windows）。
5. 当前工作目录。
6. PATH环境变量中列出的目录。

7.2 寻找劫持机会

1. 可写目录在搜索顺序前列：这是最常见的情况。例如，一个以SYSTEM运行的服务，其二进制文件在C:\Program Files\App\，但它的“起始目录”或当前工作目录被设置为一个低权限用户可写的目录（如C:\Temp）。如果该服务加载一个名为version.dll的库，它会先在C:\Temp中寻找。我们只需在C:\Temp中放置一个恶意的version.dll。
2. 缺失的DLL：如果应用程序尝试加载一个根本不存在的DLL，那么搜索会遍历所有目录直到失败。如果其中一个目录可写，我们就可以创建那个缺失的DLL文件。
3. PATH环境变量中的可写目录：如果用户（尤其是高权限用户）的PATH环境变量中包含一个全局可写目录（早年常见，现在较少），那么任何未指定路径的DLL加载都可能被劫持。

工具辅助： 使用Process Monitor可以监控进程的DLL加载行为，快速发现潜在的劫持点。过滤进程名，然后观察Load Image操作结果是否为NAME NOT FOUND或路径是否在可写目录。

利用步骤：

1. 发现一个高权限进程（服务、计划任务等）存在DLL劫持漏洞。
2. 使用MSF的msfvenom或自己编写一个恶意DLL。这个DLL需要导出目标进程所需的所有函数（可以简单转发到原始DLL），并在DllMain中执行我们的payload。
3. 将恶意DLL放置到劫持路径中。
4. 触发进程重启或重新加载DLL（有时需要重启服务或等待计划任务触发）。

注意事项：现代Windows版本和受保护的进程对DLL加载有更多限制。杀毒软件也会监控常见的DLL劫持行为。制作恶意DLL时需要考虑绕过这些防护。

8. 基于凭证窃取与令牌操纵的提权

有时候，提权不需要运行新的代码，而是直接“借用”系统中已存在的高权限令牌。

8.1 凭证转储

如果当前用户具有SeDebugPrivilege权限（通常管理员有），就可以读取其他进程的内存，包括存储明文密码、哈希和票据的lsass.exe进程。

• Mimikatz：这是最著名的凭证提取工具。经典命令sekurlsa::logonpasswords可以提取内存中的明文密码、NTLM哈希、Kerberos票据等。但现代Windows Defender等安全产品会实时监控并阻止Mimikatz的运行。
• Procdump + Mimikatz离线分析：更隐蔽的方式是使用微软官方的procdump.exe将lsass进程的内存转储到磁盘：procdump -ma lsass.exe lsass.dmp。然后将dump文件下载到攻击机，在本地使用Mimikatz离线分析：mimikatz # sekurlsa::minidump lsass.dmp，mimikatz # sekurlsa::logonpasswords。
• 其他工具：如SafetyKatz、SharpKatz、PPLdump等，都是为绕过防护而生的工具变种。

获取到高权限用户的哈希后，可以通过Pass-The-Hash攻击横向移动，或者如果破解出明文密码，则可以直接登录。

8.2 令牌模拟与窃取

Windows的令牌模拟机制允许线程在特定上下文中采用另一个用户的安全上下文。如果当前进程拥有SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege，就可以模拟其他用户的令牌。

• Rotten Potato / Juicy Potato：这是一系列利用COM/DCOM/NTLM认证流程进行令牌模拟的提权工具。其核心原理是，诱使一个更高权限的进程（如SYSTEM）向攻击者控制的RPC服务器进行认证，攻击者捕获这个认证过程并模拟该令牌。这些工具通常需要SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege。Juicy Potato通过指定不同的CLSID来增加成功率。
• PrintSpoofer：一个更新的工具，利用打印机后台处理程序服务相关的命名管道和身份验证机制，在拥有SeImpersonatePrivilege时，直接从本地服务账户提升到SYSTEM。它在很多现代Windows服务器上仍然有效。
• 手动令牌窃取：使用Metasploit的incognito模块或独立的incognito.exe工具，可以列出当前系统上的可用令牌，并直接窃取它们来创建新进程。例如，窃取一个域管理员的令牌，然后以他的身份执行命令。

实操心得：在Windows Server上，IIS应用程序池账户、SQL Server服务账户等经常被授予SeImpersonatePrivilege。一旦获得这些账户的权限，使用PrintSpoofer或Juicy Potato提权到SYSTEM的成功率非常高。这已经成为Web应用渗透后获取服务器系统权限的“标准操作流程”之一。

9. 其他常见提权路径与杂项技巧

除了上述主要类别，还有一些零散但实用的提权方法。

9.1 AlwaysInstallElevated策略

这是一个组策略设置，如果启用，任何用户都可以以SYSTEM权限安装MSI包。这显然是非常危险的配置。

检查方法：

• 注册表：检查HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer\AlwaysInstallElevated和HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer\AlwaysInstallElevated是否都设置为1。
• 使用PowerUp：Get-RegistryAlwaysInstallElevated
• 使用WinPEAS：它会自动检查并标记。

利用方法：

1. 使用msfvenom生成一个恶意的MSI安装包：msfvenom -p windows/adduser USER=backdoor PASS=Backdoor123! -f msi -o evil.msi
2. 在目标机上运行：msiexec /quiet /qn /i evil.msi
3. 恶意操作（如添加用户）将以SYSTEM权限执行。

9.2 可写的系统路径与程序

检查C:\Windows\System32、C:\Windows\SysWOW64等系统目录是否全局可写（极不可能，但历史上出现过漏洞）。更常见的是检查C:\Windows\Temp、C:\Windows\Tasks等目录，虽然它们通常可写，但默认情况下以中等完整性运行的程序无法直接在这里创建高完整性进程。

9.3 不安全的GUI应用程序与辅助功能劫持

某些情况下，高权限的GUI应用程序（如辅助工具）可能会在登录界面或锁定屏幕时以SYSTEM权限运行。如果这些应用程序的二进制文件可被替换或配置可被修改，就可能实现提权。经典的例子是Utilman.exe（轻松使用）和sethc.exe（粘滞键）的替换。

利用方法（以sethc为例，需物理接触或特殊权限）：

1. 在系统启动时进入恢复环境或使用安装介质启动。
2. 将C:\Windows\System32\sethc.exe替换为cmd.exe的副本。
3. 重启进入正常系统，在登录界面连续按5次Shift键。
4. 本应启动粘滞键，但实际会弹出以SYSTEM权限运行的命令提示符。

现代Windows通过受信任的安装程序保护和文件保护机制，使得这种替换在正常系统运行时变得非常困难。

10. 提权后的操作与权限维持

成功提权到SYSTEM或Administrator后，工作并未结束。你需要巩固战果，并建立持久化的访问通道。

10.1 权限维持技术

• 创建隐藏账户：虽然net user创建的账户容易被发现，但可以通过修改注册表SAMhive创建完全隐藏的账户，或者给现有账户（如默认的Guest账户）添加管理员权限并激活。
• SSH公钥注入：如果服务器开启了OpenSSH服务，将你的公钥添加到Administrator用户的authorized_keys文件中。
• 计划任务：创建一个以SYSTEM权限定期运行的计划任务，执行你的后门程序。
• 服务持久化：安装一个新的服务，或者修改一个现有不常用服务的二进制路径，指向你的后门。
• 注册表自动运行项：在HKLM下的Run键中添加你的后门程序路径。
• WMI事件订阅：这是一种非常隐蔽的持久化方式。创建一个WMI事件过滤器（如特定时间间隔、用户登录）和消费者（执行你的payload），将两者绑定。系统会在事件触发时以SYSTEM权限执行你的代码。
• COM劫持：劫持系统或用户经常使用的COM组件，使其加载你的恶意DLL。

10.2 清理痕迹与防御规避

在授权测试中，清理痕迹可能不是必须的，但了解攻击者如何做有助于防御。

• 清除日志：使用wevtutil命令清除安全日志、系统日志、PowerShell操作日志等。例如：wevtutil cl Security。
• 使用时间戳修改工具：将你创建或修改的文件的时间戳恢复成与周围文件类似的时间，避免基于时间线的取证分析。
• 使用内存执行或无文件技术：尽可能避免在磁盘上留下可执行文件。使用PowerShell、WMI、DotNetToJScript等技术在内存中加载和执行payload。
• 禁用安全产品：在获取足够权限后，可能会尝试禁用防病毒软件、EDR代理或Windows Defender的实时保护（需谨慎，极易触发警报）。

11. 防御视角：如何防范提权攻击

作为防御者或系统管理员，理解攻击技术是为了更好地防护。

1. 最小权限原则：给用户和服务分配完成任务所需的最小权限。避免给普通用户或服务账户授予SeDebugPrivilege、SeImpersonatePrivilege等危险特权。
2. 及时更新与补丁管理：建立严格的补丁管理流程，及时安装安全更新，尤其是针对公开漏洞的补丁。
3. 安全的服务配置：
   • 确保服务二进制文件及其所在目录的权限严格，只有SYSTEM和TrustedInstaller有完全控制权。
   • 始终用引号包裹包含空格的服务路径。
   • 定期审计服务账户，避免使用高权限账户运行非关键服务。
4. 强化计划任务与启动项：审查所有自动运行项，确保其指向的文件和目录权限安全。
5. 启用并监控安全功能：
   • 用户账户控制：保持UAC在默认或更高级别。
   • Windows Defender Credential Guard：防止凭据盗窃攻击。
   • 受控文件夹访问：防止关键目录被未授权程序修改。
   • 攻击面减少规则：阻止Office宏、脚本执行等。
6. 应用程序控制：使用AppLocker或Windows Defender Application Control来定义允许运行的应用程序白名单。
7. 凭证保护：
   • 使用LAPS管理本地管理员密码。
   • 实施强密码策略和多重认证。
   • 限制具有SeDebugPrivilege的用户。
8. 持续监控与审计：
   • 启用并集中收集安全日志（4688进程创建、4697服务安装、4702计划任务创建等）。
   • 使用Sysmon等工具进行深度进程监控。
   • 部署EDR/NDR解决方案，检测异常行为，如异常的进程父子关系、令牌窃取、LSASS内存读取等。

Windows提权是一场永不停歇的攻防博弈。攻击技术在进化，防御体系也在不断完善。对于安全从业者而言，深入理解这些技术的原理，不仅能让你在渗透测试中游刃有余，更能让你在设计安全架构、响应安全事件时洞察先机。真正的安全，源于对攻防双方深刻的理解。