AlwaysInstallElevated提权介绍

介绍：AlwaysInstallElevated是注册表的一个键值，当其值为1时候，普通用户可以system权限安装MSI文件
一．判断AlwaysInstallElevated状态
1.通过PowerUp判断
可以使用PowerUP的Get-RegistryAlwaysInstallElevated模块来检查注册表项是否被设置，如果AlwaysInstallElevated注册表项被设置，意味着MSI文件是以SYSTEM权限运行的，True表示已经设置
命令：PowerShell -nop -exec bypass IEX(New-Object Net.WebClient).DownloadString(‘c:/PowerUP.ps1’);Get-RegistryAlwaysInstallElevated

2.通过注册表键值判断
命令：reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated

也确定了没有激活AlwaysInstallElevated
二．激活AlwaysInstallElevated
注意：这里计算机配置和用户配置都需要被激活
打开运行栏(win+R)，输入”gpedit.msc”,即可进入本地组策略编辑器界面，然后路径设置：计算机配置–管理模板–Windows组件–Windows Installer，点击始终以提升的权限进行安装，选择已启用，点击确定即可
用户配置–管理模板–Windows组件–Windows Installer，点击始终以提升的权限进行安装，选择已启用，点击确定即可


或者直接可以在cmd中修改注册表
reg add HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated /t REG_DWORD /d 1
reg add HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated /t REG_DWORD /d 1
但是需要修改注册表有下面两权限：
SeRestorePrivilege
SeTakeOwnershipPrivilege
使用whoami /priv可以查看权限。
三．提权
我们先在本机实验：
1.先在本机加载PowerUp.ps1脚本，查看AlwaysInstallElevated注册表是否被设置
命令：import-Module .\PowerUp.ps1
Get-RegistryAlwaysInstallElevated

可以看到AlwaysInstallElevated注册表没有被设置
因此参考二，将其激活

2.查看现在计算机的用户

3.添加用户，运行Write-UserAddMSI模块，运行后就会生成文件UserAdd.msi

这时以普通用户权限运行这个UserAdd.msi，就会成功添加账户

再次查看用户

成功添加用户
4.然后查看管理员组的成员

成功在普通权限的CMD下添加一个管理员账户
该漏洞产生原因：用户开启了Windows Installer特权安装功能