如何利用sdclt磁盘备份工具绕过UAC

简介

sdclt 从 Vista 时代引入

在 Windows 10 开始，sdclt 增加了自动提升权限的能力，requestedExecutionLevel 由 asInvoker 变为 requireAdministrator

(命令 sigcheck -m %systemroot%\system32\sdclt.exe 的结果)

无任何参数启动 sdclt 时，sdclt 打开控制面板

控制面板的主要程序是 control.exe，那么 sdclt如何找到？control.exe 完整路径呢？

通过 process monitor 分析 (过滤掉不相关的过程，然后使用 CTRL F 搜索 control.exe)，sdclt 似乎是从注册表中读到的control.exe 的路径，

按照这个原则，我们写一个简单的 PoC 测试下

regadd"HKCU\Software\Microsoft\Windows\CurrentVersion\AppPaths\control.exe"/tREG_SZ/d%COMSPEC%/f

sdclt

在 cmd 试试

可以看出，控制面板没有启动，而是弹出了 cmd，我们还获得了管理员的权限

当然，提高权限后，需要清理痕迹。请查看具体代码PoC，点这里下载

写在***

实际上可以把 HKCU 我还没有发现其他类似的案例。感兴趣的学生可以研究它~

本文仅代表作者观点，不代表本站立场。
本文系作者授权发表，未经许可，不得转载。