直接开始写。搞安全的人应该都有过这种经历拿到一台Windows服务器权限卡在普通用户上心里知道这台机器八成有漏洞但就是找不到合适的利用代码。网上翻半天搜到的exp要么老得掉渣要么编译不过要么根本不是对应版本。时间花了不少shell还是没拿到。这篇东西不聊什么高深的内核利用就聊聊我实际工作中积累的那套快速定位可用exp的思路——从信息收集到漏洞库检索再到代码判断和本地验证全过程怎么把效率提上去。我默认看这篇文章的人已经完成了前期的权限获取正准备做提权而且是在合法授权的前提下。这个前提必须说清楚后面对安全软件的绕过、系统补丁的绕过我不展开任何细节点也不会贴那些已经进入武器化利用细节的内容懂的自然懂不懂的也不该碰。1. 快速找exp的前提先把手上的信息摸清楚很多人找exp的第一步是打开浏览器这其实是个误区。提权exp不是搜索引擎里搜出来就能用的它强依赖目标系统的具体状态。同一个CVE编号Windows 10和Server 2016可能各自有不同的触发条件同一个系统版本装了补丁和没装补丁又是两个完全不同的世界。所以在搜任何exp之前先花十分钟把目标机器的指纹信息摸清楚这才是整个流程里最值得投入时间的一步。1.1 为什么版本细节直接决定exp的存活率Windows提权exp的利用成功率最核心的变量就是系统版本和补丁级别。一个针对Win10 1809写的内核提权利用放到Win10 22H2上大概率会蓝屏而不是提权因为内核结构变了、关键函数的偏移变了、防护机制也变了。这个道理听起来简单但我在实际测试里见到太多人拿一个老exp硬往新系统上打结果目标没提权反而把进程搞崩了。还有一个容易忽略的点Windows的版本号不等于你看到的系统版本名。比如Windows Server 2016有多个内部版本号1607和14393这些数字才是关键。判断一个exp能不能用最好对到具体的Build号。另外系统架构x86/x64/arm64也是硬门槛一个x64的exp在x86系统上根本编不过。1.2 需要收集哪些指纹信息我习惯按下面的清单收集缺一项都可能在后面踩坑操作系统精确版本和Build号systeminfo里的OS版本那一行或者cmd /c ver最好把Build号记下来。补丁安装情况wmic qfe list brief或者systeminfo底部的Hotfix列表。这一步直接告诉你哪些提权利用已经被修补可以划掉一批不用看的exp。系统架构echo %PROCESSOR_ARCHITECTURE%x64还是x86直接定方向。当前用户权限和所在组whoami /all确认当前能做什么是不是在某个特殊组里比如备份操作员、Remote Management Users。运行中的服务wmic service list full或tasklist /svc。服务的版本信息经常被忽视但很多提权就是通过有漏洞的第三方服务完成的。已安装的软件wmic product list可能很慢我一般用reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall /s来快速查看或者直接看桌面和Program Files目录。防护软件情况这个不需要细讲但在实际操作中会直接影响用什么路径的exp至少要知道目标上有没有EDR。1.3 实际操作中怎么快速拿这些信息如果已经有一枚普通的webshell或者反弹shell我建议把上面这些信息一次性导出到文本再拉回本地慢慢分析。比如systeminfo sysinfo.txt whoami /all sysinfo.txt wmic qfe list brief sysinfo.txt tasklist /svc sysinfo.txt net localgroup administrators sysinfo.txt这些命令基本不会触发什么拦截属于最常规的信息收集手段。拿到这些数据之后再决定下一步检索哪个方向是查系统本身的未修补漏洞还是查第三方服务漏洞还是查看有没有可利用的错误配置。2. 公开漏洞数据源怎么搜才能少走弯路指纹信息收集完毕接下来就是快速查找exp的核心环节。说到找exp大多数人第一反应是搜索引擎直接搜CVE编号这当然没错但真正高效的做法是知道哪些数据源覆盖了什么内容以及每个数据源适合什么场景。这一节我用自己平时的检索习惯来讲尽量说点搜索引擎不会告诉你的细节。2.1 exploit-db和其他主流漏洞库的使用习惯exploit-db也就是Exploit Database是最常去的地方它的优势在于每个exp都有人review过格式清晰而且有对应的CVE编号和漏洞类型标签。它的搜索引擎支持Google语法直接搜site:exploit-db.com windows 10 22h2 local privilege escalation之类就能拿到候选列表。不过exploit-db的更新速度并不算快新出的在野利用通常不会第一时间出现在这里。另一个是Rapid7的漏洞数据库它的exp模块主要依托Metasploit框架。很多人以为Metasploit只能用来打已知漏洞但实际上它也是一个非常好的exp检索库。我常用的方式是本地装一个Metasploit直接用search命令按平台和漏洞类型过滤比如search type:exploit platform:windows privilege这样做的好处是搜到的exp不仅描述了漏洞信息还自带经过测试的利用模块可以在本地Metasploit环境里直接加载验证不必再去找单独的利用脚本。2.2 GitHub搜索的隐藏用法GitHub是另一个大头而且往往能找到比exploit-db更新、更贴近实际利用的代码。但GitHub的问题是噪音太大——同一个CVE可能有几十个仓库很多是重复的、搬运的甚至有的根本没经过测试。我一般这样过滤用CVE编号搜比如CVE-2024-xx windows。按最近更新时间排序优先看最近半年内还有更新的仓库至少在维护中的代码通常更靠谱。看stars和fork数虽然不是绝对标准但很多人用过且没出大问题参考价值还是有的。点进仓库后先看README如果写明tested on Windows 10 22H2这类信息就比那些什么都没写的靠谱得多。看代码里是否包含实际利用的完整流程payload怎么放、怎么触发而不是只有一段漏洞分析代码。后者证明不了能否提权。这里有一个容易踩的坑GitHub上不少exploit仓库其实只是POC概念验证它证明了漏洞存在但离真正的提权还有十万八千里。比如一个只能导致本地崩溃的POC堆喷和指令控制都没做拿来当exp用根本提不了权反而可能杀死目标进程。2.3 一些行业博客和汇总页面除了上面两类还有几个渠道值得养成定期看的习惯安全厂商的威胁情报博客很多实际被利用的提权漏洞第一个详细分析往往来自终端安全厂商的研究团队他们会在文章里附上检测规则和缓解建议有的也会给POC链接。这类文章英文居多但信息密度很高。独立研究者的博客和Twitter/X不少提权利用在加入公共漏洞库之前会先在研究者自己的博客或社交账号上发布。这个渠道信息最超前但可信度和可用性参差不齐需要自己判断。CVE详情站的引用列表在MITRE CVE或NVD的页面上往下拉能看到References里面汇总了各个研究者的分析文章和利用代码链接。这是找某个CVE相关资源最全的地方。我的习惯是先exploit-db和Metasploit搜一轮没找到合适的话就去看NVD的引用列表最后再去GitHub碰碰运气。按这个顺序走下来大多数情况都能在三五分钟内锁定目标。3. 判断exp靠不靠谱源码阅读与类型辨识找到一堆候选exp之后离成功还很远。真正拉开效率差距的是在下载代码之后、运行之前那几分钟的判断能力。很多新手拿到代码就编译、就执行结果不是蓝屏就是毫无反应。我下面讲讲我是怎么在动手之前快速评估一个exp的可用性的。3.1 区分POC、EXP与武器化利用这三者的区别一定要清楚POCProof of Concept证明漏洞存在的代码。它可能只是让目标进程崩溃或者弹出一个计算器证明代码执行点可控。它不代表能提权。EXPExploit完整的利用程序。它能在目标系统上把权限抬升通常会生成一个新的高权限进程或写入一个高权限文件。武器化利用Weaponized Exploit在EXP的基础上做了大量工程化工作比如免杀、自动判断版本、自动选择偏移、对不稳定环境做适配。这类代码通常不公开或者只在很小范围内流传。在公开渠道能下到的大部分是POC和简单EXP。判断一个代码到底属不属于能在当前系统上提权的那一类不能只看标题里有没有Local Privilege Escalation这个标签。3.2 代码里需要重点看的几个关键点拿到一个exp仓库我先看下面几个点基本能淘汰掉一半以上的垃圾代码第一看利用目标版本区间是否覆盖当前系统。代码头部的注释通常会写Works on Windows 10 1809-1909如果没写就要看代码里有没有硬编码的版本判断逻辑比如比较OS Build号。如果代码里没有版本判断也没有注释风险就很高可能作者只在特定环境测过。第二看触发方式和稳定性。内核提权exp的代码通常涉及几个环节漏洞触发、内存布局布置、Shellcode执行、权限提升、恢复现场。如果没有恢复现场的环节说明这个exp很可能只求打出一次效果不关心系统稳定用在真实目标上可能会留下明显痕迹或造成系统崩溃。从测试和应急响应的角度这种exp要掂量着用。第三看有没有硬编码的路径或进程名。有些exp写成之后依赖特定软件的存在比如某个服务路径写在硬编码里换一台机器路径不对就直接失败。这时候要么改代码重新编译要么只能放弃。第四看依赖的外部组件。有的exp需要配合一个特定的DLL有的需要传一个驱动文件上去有的需要先执行某个payload生成器。这些依赖链越长实际操作中出岔子的概率越大。我通常优先选那种一个exe丢上去就能跑的而不是需要现场部署一堆东西的。3.3 编译环境与运行依赖的匹配Windows提权exp大部分是C/C写的也有少量C#和Python。这意味着你必须准备好对应的编译环境C/CVisual Studio系统上编译最省事。我一般用VS的Developer Command Prompt直接cl exploit.c就出exe。如果没有VS也可以用Mingw-w64但有些调用Windows API的代码可能因为链接库差异出问题。注意目标系统是x64就编x64版本是x86就编x86版本混淆了必挂。C#用csc编译即可Visual Studio自带的csc路径通常在C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe。有些exp用.net 2.0写的有些用4.x选错版本也可能报错。PythonWindows机器默认没有Python环境除非目标装了否则实用性比较差一般我直接跳过。编译完了先在本地做一个基本的功能测试在虚拟机上确认程序能正常启动、不报错、不崩溃再往目标机器上传。这一步能过滤掉大量因为编译问题导致的白忙活。4. 拿到exp后的验证套路与常见坑最后一步也是最容易翻车的一步把exp放到目标环境里验证。这一步翻车的概率远比你想象的高而且很多时候不是exp本身的问题而是操作方式和环境判断的问题。这一节我讲几个实际踩过的坑和现在的标准处理流程。4.1 先搭一个同版本环境做冒烟测试如果条件允许尽量不要直接在目标机器上验证一个未经本地测过的exp。我一般是本地准备一个和指纹信息匹配的虚拟机——同Build号、同架构、关闭自动更新——先在虚拟机里跑一遍观察三件事程序是否能正常执行正常退出。提权是否成功能不能启动一个system权限的进程。系统是否蓝屏或出现明显异常。这个流程看起来繁琐但它能救你很多次。因为一个在目标机器上直接蓝屏的exp轻则让你丢失权限重则引起防御方的注意整个测试提前结束。我遇到过最典型的一次exp在本地Win10 22H2测试正常到了目标Server 2019上就失败。后来仔细比对才发现目标系统装了EDRexp的驱动加载环节被拦截程序没有做错误处理就直接退出了。从那以后我就养成了本地三种环境都测过再上目标的习惯。4.2 常见失败原因的排查顺序如果exp在目标机器上失败了我按下面的顺序排查一般十分钟内能定位问题编译架构对不对x86的exp跑在x64系统上或者反过来最常见的低级错误。补丁打没打wmic qfe list对比exp影响的版本范围有时候目标已经打了安全补丁这个exp天然失效。是否存在预期路径和文件比如exp依赖某个服务或文件检查它是否存在于目标机器。权限上下文对不对有的exp需要当前用户在某个特定组里或者需要能创建特定类型的logon session用whoami确认一下。防御软件拦截这个很难直接从报错里看出来但可以观察上传的exe是否被隔离、执行后是否有日志落地。如果怀疑是被拦了通常需要换一种利用路径而不是死磕同一个exp。系统语言和版本差异少数exp对系统UI语言敏感比如硬编码了中文路径或者美国的区域设置这个比较少见但也会发生。按这个顺序排查既不会漏掉明显问题也不至于一开始就怀疑到深层原因上效率最高。4.3 从防御视角回头看这件事写到这里其实还想多提一句。快速查找exp这套方法论不只是进攻方需要掌握。做蓝队的、做系统运维的同样值得按这个思路给自己负责的系统过一遍——看看如果攻击者拿到了普通用户权限他们能在你的系统上找到什么exp把这几个问题想清楚比单纯追求打补丁到最新更有实操意义你的系统有哪些版本哪些软件的版本低于已知漏洞的影响线有哪些第三方服务在system权限下运行且版本存在已知提权CVE你的临时文件和目录权限是不是设置得太宽导致攻击者可以写入并诱导服务加载如果你的系统被拿下了普通权限攻击者最快能搜到哪个exp你有没有提前把这个口子堵上在平时的授权评估中我最喜欢用攻击者视角给客户的系统做体检原因很简单你能多快找到exp决定了你的系统在真实威胁面前能撑多久。蓝队如果能在攻击者利用之前识别出同类风险那安全水位就上了一个台阶。最后再分享一个小经验多本地做实验多记录自己复现成功和失败的exp。我维护了一份自己的可复现exp清单每测过一个就在里面记下操作系统版本、触发条件、编译环境、是否成功、失败原因。这份清单后来成了我效率最高的工具比任何公开数据库都好用——因为它记录的是我自己的真实环境避开了公开资料里那些我以为能用但实际不能用的坑。