简单使用系统System（超级管理员）权限运行进程-提权

获得这个权限，有很多办法：

1. 创建服务，服务本身以System权限运行（这应该也是PsExec的方法）
2. 偷梁换柱，对一些系统程序进行替换，比如将屏幕键盘osk或者放大镜换成cmd，在Alt+Ctrl+Delete菜单中打开，此时是System权限（退出就没了），还有利用系统的一些操作在里面夹带私货，例如签名校验劫持

这几天我发现一个工具NSudo，用它能以TrustedInstaller和System权限运行程序。我根据它的原理写了个简单的C++程序，以系统权限运行记事本。说明都在注释里了。

简述一下原理：先获取到一个System进程的句柄要用一般能正常获得的比如lsass.exe，winlogon.exe，取得它的令牌，复制一份以使其能用来启动进程，然后调用CreateProcessWithTokenW()启动进程。降权方法类似，只不过需把要偷令牌的进程换成explorer.exe，这样就能降权到登录用户（前提是要有这个进程，否则你要先直接启动它，通过退出码2重启它，得到一个正常explorer）

#include<windows.h>
#include<tlhelp32.h>
int main() {
	//提权到Debug以获取进程句柄
	//https://blog.csdn.net/zuishikonghuan/article/details/47746451
	HANDLE hToken;
	LUID Luid;
	TOKEN_PRIVILEGES tp;
	OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken);
	LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &Luid);
	tp.PrivilegeCount = 1;
	tp.Privileges[0].Luid = Luid;
	tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
	AdjustTokenPrivileges(hToken, false, &tp, sizeof(tp), NULL, NULL);
	CloseHandle(hToken);
	
	//枚举进程获取lsass.exe的ID和winlogon.exe的ID，它们是少有的可以直接打开句柄的系统进程
	DWORD idL, idW;
	PROCESSENTRY32 pe;
	pe.dwSize = sizeof(PROCESSENTRY32);
	HANDLE hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
	if (Process32First(hSnapshot, &pe)) {
		do {
			if (0 == _stricmp(pe.szExeFile, "lsass.exe")) {
				idL = pe.th32ProcessID;
			}else if (0 == _stricmp(pe.szExeFile, "winlogon.exe")) {
				idW = pe.th32ProcessID;
			}
		} while (Process32Next(hSnapshot, &pe));
	}
	CloseHandle(hSnapshot);
	
	//获取句柄，先试lsass再试winlogon
	HANDLE hProcess = OpenProcess(PROCESS_QUERY_INFORMATION, FALSE, idL);
	if(!hProcess)hProcess = OpenProcess(PROCESS_QUERY_INFORMATION, FALSE, idW);
	HANDLE hTokenx;
	//获取令牌
	OpenProcessToken(hProcess, TOKEN_DUPLICATE, &hTokenx);
	//复制令牌
	DuplicateTokenEx(hTokenx, MAXIMUM_ALLOWED, NULL, SecurityIdentification, TokenPrimary, &hToken);
	CloseHandle(hProcess);
	CloseHandle(hTokenx);
	//启动信息
	STARTUPINFOW si;
	PROCESS_INFORMATION pi;
	ZeroMemory(&si, sizeof(STARTUPINFOW));
	si.cb = sizeof(STARTUPINFOW);
	si.lpDesktop = L"winsta0\\default";//显示窗口
	//启动进程，不能用CreateProcessAsUser否则报错1314无特权
	CreateProcessWithTokenW(hToken, LOGON_NETCREDENTIALS_ONLY, NULL, L"notepad", NORMAL_PRIORITY_CLASS, NULL, NULL, &si, &pi);
	CloseHandle(hToken);
}

得到

参考了NSudo的原理https://github.com/M2Team/NSudo/blob/master/Source/Native/Mile.Cpp/Mile.Library/Mile.Windows.cpp，位于Mile::CreateSystemToken()方法