1. 内网渗透中的权限提升概述权限提升是内网渗透过程中最关键的环节之一也是区分脚本小子和专业安全人员的重要分水岭。在内网环境中攻击者初始获取的往往只是普通用户权限而真正的目标通常是获取域管理员或系统管理员权限。权限提升技术本质上是通过利用系统配置缺陷、软件漏洞或逻辑错误从低权限账户获取更高权限账户的控制权。在实际渗透测试中我发现权限提升主要分为两大类纵向提权从普通用户到管理员和横向移动从一个普通用户到另一个普通用户。前者直接提升权限级别后者则是通过扩大控制范围间接获取更高权限。这两种方式往往需要结合使用才能最终达成控制整个内网的目标。2. 常见权限提升技术分类与原理2.1 系统配置不当导致的提权Windows系统中最常见的配置问题包括服务路径漏洞当服务以SYSTEM权限运行但指向用户可写的目录时不安全的服务权限用户可以修改服务配置或停止/启动服务计划任务配置错误用户可修改计划任务执行的程序或脚本Linux系统中则常见SUID/SGID设置不当普通用户可执行高权限程序/etc/passwd或/etc/shadow文件权限设置错误cron任务配置不当导致命令注入提示在内网渗透中我总是优先检查这些配置问题因为它们不依赖特定漏洞成功率较高且不易被防护设备检测到。2.2 内核与系统漏洞利用当配置检查无法直接提权时我会转向漏洞利用。Windows系统中值得关注的包括MS16-075烂土豆通过命名管道模拟漏洞提权CVE-2018-8120Win32k组件空指针引用漏洞CVE-2019-0808Win32k特权提升漏洞Linux系统中常见的有Dirty CowCVE-2016-5195内存竞争条件漏洞Sudo漏洞CVE-2021-3156堆溢出漏洞Polkit漏洞CVE-2021-4034环境变量注入漏洞2.3 凭证窃取与滥用在内网环境中凭证往往比漏洞更有价值。我常用的技术包括内存dump提取明文密码mimikatz破解SAM/SYSTEM注册表文件嗅探网络流量获取NTLM哈希滥用Windows凭据管理器查找配置文件中的硬编码凭证3. 实战中的权限提升流程3.1 信息收集阶段在获取初始立足点后我会系统性地收集以下信息systeminfo # 获取系统详细信息 whoami /priv # 查看当前用户权限 net user /domain # 枚举域用户 tasklist /svc # 查看运行的服务 schtasks /query /fo LIST /v # 查看计划任务3.2 自动化工具辅助分析我通常会使用以下工具快速识别潜在的提权路径Windows: WinPEAS, PowerUp, SeatbeltLinux: LinPEAS, LinEnum, Linux Exploit Suggester跨平台: Metasploit的post模块这些工具能自动检测系统配置问题、安装的软件版本和已知漏洞大幅提高效率。3.3 针对性利用与验证根据收集的信息我会优先尝试无需漏洞的配置错误提权检查内核版本与公开漏洞匹配情况测试凭证重用和横向移动可能性验证提权成功后立即备份凭证和权限4. 高级权限维持技术4.1 黄金票据与白银票据在域环境中获取krbtgt账户的哈希后可以创建黄金票据获得任意服务的访问权限。而白银票据则针对特定服务不需要与KDC交互。4.2 影子账户与DSRM密码创建隐藏的管理员账户或修改目录服务恢复模式(DSRM)密码可以在常规管理员账户被重置后仍保持访问权限。4.3 计划任务与WMI事件订阅通过创建高权限的计划任务或WMI永久事件订阅可以在系统重启后自动恢复控制权。5. 防御与检测建议作为渗透测试人员了解防御措施同样重要。企业可以采取以下措施5.1 权限最小化原则严格遵循最小权限原则分配账户权限定期审计用户权限和服务账户禁用不必要的系统功能和组件5.2 系统加固措施及时安装安全补丁配置AppLocker或软件限制策略启用LSA保护和Credential Guard5.3 监控与检测监控异常账户活动如夜间登录检测mimikatz等工具的使用痕迹分析异常服务创建和计划任务在实际渗透测试项目中我发现大多数内网渗透最终都依赖于权限提升技术。不同于边界突破的一次性攻击权限提升往往需要多次尝试和组合多种技术。最有效的攻击者不是那些掌握最多漏洞的人而是最了解系统运作原理和防御盲点的人。在最近的一次红队演练中我通过组合服务路径漏洞、凭证重用和WMI事件订阅成功在高度防护的域环境中建立了持久控制。整个过程没有使用任何0day漏洞全是依靠对系统机制的深入理解和耐心测试。这再次证明内网安全最薄弱的环节往往不是技术本身而是人与配置的疏忽。