Windows 架构

大多数企业环境运行 Windows。了解其内部工作方式——包括进程、服务和权限边界——对于攻击和防御都至关重要。

本课将介绍您在参与安全测试时需要分析的核心架构。

Windows 将执行分为两个环：

• 用户模式——应用程序在此运行，但访问权限有限。
• 内核模式——OS 核心和驱动程序在此运行，并拥有完整的硬件访问权限。

能够进入内核模式的漏洞利用（例如通过易受攻击的驱动程序）可以带来完全控制权。

进程是一个正在运行且拥有独立内存的程序；线程是其中的执行单位。每个进程都有唯一的 PID。

您可以从命令提示符或 PowerShell 中列出进程。

有几个进程始终处于运行状态；如果这些进程出现冒充者，通常意味着存在恶意软件：

• 系统（PID 4）——内核线程。
• smss.exe——会话管理器。
• csrss.exe——客户端/服务器运行时。
• lsass.exe——保存凭据，是攻击者的主要目标。
• winlogon.exe、services.exe。

lsass.exe（本地安全机构子系统）负责管理身份验证，并在内存中缓存凭据材料。

诸如 Mimikatz（米米卡茨）之类的工具可以转储 lsass，以窃取密码哈希和 Kerberos 票据——这是最重要的攻击手段之一。

服务是由服务控制管理器管理的后台程序，通常在启动时以高权限运行。

配置错误的服务（权限过弱、路径未加引号）是经典的权限提升途径。

应用程序通过由 kernel32.dll 和 ntdll.dll 等 DLL 暴露的 Windows API 与 OS 通信。

恶意软件和攻击工具会直接调用这些 API（CreateProcess、VirtualAlloc、WriteProcessMemory）来注入代码并规避检测。

每个进程都携带一个访问令牌，其中描述了其用户、组和权限。Windows 会针对每个受保护的操作检查该令牌。

攻击者会窃取或冒充令牌，以更高权限用户的身份执行操作；许多权限提升技术都以此为基础。

Windows 会分配完整性级别（低、中、高、系统）。用户账户控制（UAC）会让管理员以中等完整性运行，直到其主动提升权限。

UAC 绕过是从中等完整性跳转到高完整性而无需显示提示的常见步骤。

程序会从共享库中加载代码，这些共享库以 DLL 的形式存在。Windows 会按特定顺序搜索目录来查找它们。

如果可写目录排在前面，攻击者就可以植入恶意 DLL——这称为 DLL 劫持/滥用搜索顺序。

Microsoft 的系统内部工具套件对于防御者和攻击者都非常有价值：

• 进程资源管理器——深入查看进程树和句柄。
• 进程监视器——实时查看文件、注册表和进程事件。
• 自动运行——查看所有自动启动位置（非常适合查找持久化机制）。

回想一下保存凭据的进程。

您已经了解了 Windows 架构：

• 用户模式与内核模式；进入内核意味着获得完全控制权。
• 关键进程，尤其是负责保存凭据的 lsass.exe。
• 服务、访问令牌、完整性级别和 UAC。
• 滥用 DLL 搜索顺序，以及使用 系统内部工具套件进行检查。

接下来：Windows 注册表。