服务错误配置
未加引号的路径与薄弱权限
服务错误配置 是 CoddyKit 上的免费 Ethical Hacking Academy 课时。 这是第 2 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Ethical Hacking Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Ethical Hacking Academy 课程共包含 4 节课。
作为提权途径的服务
Windows 服务通常以 SYSTEM 身份运行并自动启动。配置错误的服务——权限薄弱、可被劫持的二进制路径或可写的可执行文件——会让您能够以 SYSTEM 身份运行代码。
未加引号的服务路径
如果服务的二进制路径包含空格且未加引号，Windows 会将每个以空格分隔的前缀依次与 .exe 拼接并尝试运行。对于 C:\Program Files\My App\svc.exe，它会依次尝试 C:\Program.exe、C:\Program Files\My.exe 等。
wmic service get Name,PathName,StartName | findstr /i /v "\""利用未加引号的路径
如果您可以写入其中一个中间目录（例如配置错误主机上的 C:\Program Files\），就可以将恶意的 My.exe 放在那里。当 SYSTEM 服务启动时，Windows 会运行您的二进制文件。
icacls "C:\Program Files"
# need write access to the unquoted segment薄弱的服务权限
如果您的用户对 SYSTEM 服务拥有 SERVICE_CHANGE_CONFIG 权限，就可以将其二进制路径改为您的有效载荷，然后重启服务。使用 AccessChk 检查服务访问控制列表。
accesschk.exe -uwcqv "Users" *
# look for SERVICE_ALL_ACCESS / SERVICE_CHANGE_CONFIG修改服务二进制路径
拥有配置权限后，将 binPath 修改为可将您的账户加入 Administrators 的命令，然后重启服务，使其以 SYSTEM 身份运行。
sc config vulnsvc binPath= "cmd /c net localgroup administrators user /add"
sc stop vulnsvc & sc start vulnsvc二进制文件的文件权限薄弱
即使没有配置权限，如果服务本身的可执行文件可由您的用户写入，也可以用您的有效载荷覆盖该文件，然后重启服务（或等待系统重启）。
icacls "C:\Program Files\VulnApp\service.exe"
# (M) or (F) for Users/Everyone = writableDLL 劫持
如果 SYSTEM 服务按照搜索顺序从可写目录中按名称加载 DLL，就可以在其中放置恶意 DLL。服务下次启动时会加载您的代码。这就是DLL 劫持/搜索顺序滥用。
基于注册表的服务滥用
服务配置位于 HKLM\SYSTEM\CurrentControlSet\Services 下。对服务注册表项拥有写入权限，就可以修改其 ImagePath——这是控制哪些内容以 SYSTEM 身份运行的另一条路径。
reg query "HKLM\SYSTEM\CurrentControlSet\Services\vulnsvc"重启服务
提权通常取决于触发服务重启。如果无法直接停止或启动服务，可能需要重启系统——或者选择会自动重启的服务。检查您的账户是否可以重启该服务。
sc qc vulnsvc # query config
sc query vulnsvc # current state使用 PowerUp 查找这些问题
PowerUp 的检查项（Get-ServiceUnquoted、Get-ModifiableServiceFile、Get-ModifiableService）可以自动发现所有这些服务配置错误，甚至生成利用命令。
powershell -ep bypass
Import-Module .\PowerUp.ps1
Invoke-AllChecks防御与道德规范
防御人员应为所有服务路径加上引号，限制服务和二进制文件的访问控制列表，以最小权限运行服务，并保护服务注册表项。仅在获得授权的系统上利用这些问题。
快速检查
测试您对服务配置错误的了解。
回顾
您学习了基于服务的提权：
- 未加引号的服务路径允许您在较早的路径片段中放置二进制文件
- 薄弱的服务权限允许您重新指向
binPath - 可写的服务二进制文件和 DLL 劫持同样可以实现提权
- PowerUp 可以自动发现并利用这些问题
下一节：令牌模拟。
常见问题解答
「服务错误配置」课时是免费的吗？
是的 — 「服务错误配置」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Ethical Hacking Academy 课程的其余内容，请升级到 CoddyKit PRO。 Ethical Hacking Academy 课程共包含 4 节课。
「服务错误配置」这节课中我会学到什么？
未加引号的路径与薄弱权限 你通过在浏览器中直接运行的动手代码来练习 Ethical Hacking Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Ethical Hacking Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Ethical Hacking Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 2 节课，共 4 节。
「服务错误配置」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Ethical Hacking Academy 课中编写并运行代码吗？
能。每节 Ethical Hacking Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- Windows 枚举
- 服务错误配置
- 令牌冒充
- 凭据窃取