粘滞键引起的提权实战

在某论坛阅读文章的时候看到一个粘滞键的概念，一时兴起百度了一下，思考了一下发现似乎有后门可以利用

先用我win10虚拟机查看一下win10的粘滞键在什么位置
打开控制面板如下：

找到键盘打开粘滞键

按照提示按了5次shift打开粘滞键，到这个地方我百度了一下粘滞键的概念

粘滞键指的是电脑使用中的一种快捷键，专为同时按下两个或多个键有困难的人而设计的。粘滞键的主要功能是方便Shift等键的组合使用。
粘滞键可以先按一个键位（如shift），再按另一键位，而不是同时按下两个键位，方便某些因身体原因而无法同时按下多键的人。一般的电脑连按五次shift会出现粘滞键提示。

不知道大家有没有这样一种感受，就是有些时候打游戏时弹了个消息出来，但是提取消息的热键又跟自己的游戏键位有所冲突，有时候倒霉的话就可能导致游戏掉线，所以我认为对于大多数人来说，粘滞键最大的用途可能就在这个地方

只需要按住ctrl键在拖图标到另一个位置就可以实现复制的功能

废话不多说，win2003虚拟机开整

首先进入粘滞键所对应的文件夹，粘滞键在windows里面对应的应用是sethc.exe，要提权肯定会用到cmd，所以我们的思路就是把粘滞键的exe覆盖掉cmd的exe，就相当于你用粘滞键的快捷键就可以打开cmd的界面

先备份一下sethc.exe，然后用copy cmd.exe sethc.exe语句将cmd覆盖，这时候理论上我们用粘滞键的快捷键5次shift就能够打开cmd.exe

在W2003环境下按5次粘滞键，注意看一下，我这里显示的是cmd的见面，但是我顶部是打开的sethc.exe，所以成功。可能有些同学看到这里会问这个方法有啥用呢，就算你要提权你也要进系统了才可以操作啊？

稍安勿躁，这里为了方便操作，我用物理机开3389访问虚拟机，看一下一开始我的3389是没有开的，listening即为打开状态

3389进远程桌面，但是要账号密码，这时候粘滞键替换cmd的作用就来了，这时候我们只要用粘滞键的快捷键，就能够不用进系统也能调出cmd来，这就是粘滞键后门

先看一下账户，系统

这里就可以用使用dos命令创建一个管理员用户进行远程登录，现在我环境的账户如下

然后我用dos命令把admin加到了管理员组里面，这时候我们再开一下user情况，发现admin已经添加进了用户组

然后用设置的账号密码进行登录

登陆成功，然后发现是管理员权限

再查看一下日志，发现日志里面记录了添加账户的操作

直接上实战，这里我拿到了一台域内主机，但不是域控，但是有system的权限

dir看一下所在位置，在C盘目录下，但是我没有机会碰得到他的粘滞键，所以只好放弃
这个地方如果是system权限其实就不用大费周章的去找粘滞键这个后门了，根据出不出网走shell反弹或者cs上线就能够进行横向移动了

总结一下，粘滞键的后门在实战中并不多见，只是可能碰巧遇到这种环境，有管理员权限但是只能在c盘活动时，就可以尝试粘滞键这个后门。

新年第一天，希望在新的一年里诸事顺遂，万事胜意。