建站
咨詢(xún)
售后
建站咨詢(xún)
新聞中心
簡(jiǎn)介
創(chuàng)新互聯(lián)是專(zhuān)業(yè)的白山網(wǎng)站建設(shè)公司，白山接單;提供網(wǎng)站建設(shè)、成都網(wǎng)站建設(shè),網(wǎng)頁(yè)設(shè)計(jì),網(wǎng)站設(shè)計(jì),建網(wǎng)站,PHP網(wǎng)站建設(shè)等專(zhuān)業(yè)做網(wǎng)站服務(wù);采用PHP框架,可快速的進(jìn)行白山網(wǎng)站開(kāi)發(fā)網(wǎng)頁(yè)制作和功能擴(kuò)展;專(zhuān)業(yè)做搜索引擎喜愛(ài)的網(wǎng)站,專(zhuān)業(yè)的做網(wǎng)站團(tuán)隊(duì),希望更多企業(yè)前來(lái)合作!
sdclt 是微軟提供的命令行磁盤(pán)備份工具，從 Vista 時(shí)代引入
在 Windows 10 開(kāi)始，sdclt 加入了自動(dòng)提升權(quán)限的能力，requestedExecutionLevel 由 asInvoker 變?yōu)?requireAdministrator
(命令 sigcheck -m %systemroot%\system32\sdclt.exe 的結(jié)果)
當(dāng)不帶任何參數(shù)啟動(dòng) sdclt 時(shí)，sdclt 會(huì)打開(kāi)控制面板
控制面板的主程序?yàn)?control.exe，那么 sdclt 是如何找到 control.exe 完整路徑的呢?
通過(guò) process monitor 的分析 (過(guò)濾掉不相干進(jìn)程，再用 CTRL + F 搜索 control.exe)，sdclt 似乎是從注冊(cè)表讀取到了 control.exe 的路徑，
按照這個(gè)原理，我們寫(xiě)一個(gè)簡(jiǎn)單的 PoC 測(cè)試下
- reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\App Paths\control.exe" /t REG_SZ /d %COMSPEC% /f
- sdclt
在 cmd 中執(zhí)行一下試試
可以看到，控制面板沒(méi)有啟動(dòng)，而是彈出了一個(gè) cmd，我們也獲得了管理員權(quán)限
當(dāng)然，提升權(quán)限后還要清理下痕跡，具體代碼請(qǐng)看完整PoC，點(diǎn)這里下載
寫(xiě)在***
其實(shí)可以把 HKCU 整個(gè)導(dǎo)出來(lái)看一下，目前我還沒(méi)有發(fā)現(xiàn)其它類(lèi)似的案例，有興趣的同學(xué)可以研究下~
網(wǎng)頁(yè)名稱(chēng)：如何利用sdclt磁盤(pán)備份工具繞過(guò)UAC
鏈接地址：http://fisionsoft.com.cn/article/djedccp.html
