2020内网安全攻防第17章：Windows服务漏洞利用与AlwaysInstallElevated策略

本资源是一份关于内网安全攻防的学习指南，针对2020年1月12日的AHZY分享，着重讲解了Windows操作系统的内核级安全漏洞利用与防范。第17章节详细探讨了系统服务权限配置错误和注册表键AlwaysInstallElevated的潜在威胁。 1. 系统服务权限配置错误： Windows系统服务在启动时运行，如果服务文件被低权限用户修改且具有写权限，恶意用户可以替换服务文件，从而在系统启动时获取系统权限。尽管这些服务通常位于受强制访问控制保护的区域，但某些情况下可能存在未被充分保护的服务。PowerUp项目（<https://github.com/PowerShellMafia/PowerSploit/blob/master/Privesc/PowerUp.ps1>）提供了本地提权工具，帮助识别可能存在的服务漏洞。 2. 注册表键AlwaysInstallElevated： 这个注册表键允许低权限用户以System权限安装软件。如果此设置开启，恶意用户可以通过安装恶意的MSI文件（例如，通过`msiexec.exe`）来提升权限。值得注意的是，利用如腾讯QQ的某些漏洞进行攻击可能并未成功，可能是由于漏洞已被修复或者需要特定条件才能触发。 3. Windows Installer（Windowsinstall）： 作为Windows操作系统的一部分，Windows Installer不仅负责软件的安装，还处理组件管理、文件监控、备份和恢复等功能。用户可以通过`msiexec.exe`执行MSI文件。通过`gpedit.msc`可以配置策略，将AlwaysInstallElevated设置为已启用，使得普通用户可以使用管理员权限安装文件。 4. 漏洞利用实践： 学习者尝试利用AlwaysInstallElevated漏洞，通过`Write-UserAddMSI`命令手动安装恶意 MSI 文件，这会导致系统弹出对话框提示用户输入新用户的设置。然而，实际操作中遇到的失败可能表明腾讯QQ漏洞已被封堵或限制。 这份PPT内容深入剖析了Windows内网安全中的系统服务权限管理和注册表策略，展示了如何识别和利用潜在漏洞，同时也强调了日常安全防护措施的重要性。通过学习，IT专业人员可以增强对Windows内网安全的认识，预防并应对可能的攻击。