从入门到实战的“野路子”心得
嘿，各位老哥们，今天咱们不聊那些高大上的理论，就来唠唠我这些年玩渗透测试时，碰到登录脚本提权方法的一些“野路子”和血泪教训，说实话，这玩意儿水挺深的，但摸透了门道，你会发现它就像一把万能钥匙,有时候比那些复杂漏洞管用多了。
先声明一下哈，这篇文章纯属技术交流，咱们只聊思路和防御，千万别拿去干坏事，否则后果自负！ 我写的东西，都是基于测试环境和合法授权的实战总结，你要是真想学这套登录脚本提权方法,得先把伦理和法律这根弦绷紧了。
什么是登录脚本提权？别急，听我细说
咱们得先掰扯清楚，啥叫登录脚本，简单讲，就是用户在登录系统或应用时，自动执行的那一串命令或批处理，很多时候，管理员为了省事儿，会把这些脚本放在共享目录或者默认路径下，还给了System或Root权限——这不就是明摆着“请君入瓮”嘛！
我的理解是，登录脚本提权方法的核心就三个字：“借力打力”，你本身是个低权限用户，但只要能影响或操控这些登录脚本，就能借助系统或管理员的权限，完成“屌丝逆袭”，这里面的门道，可比你想的多得多，而且有些思路,简直让人拍案叫绝！
第一招：脚本路径劫持，这招最“阴损”
记得有一次测试，我拿到一个普通域用户权限，死活提不了权，后来我蹲在角落抽了根烟，突然灵光一闪——干嘛不看看登录脚本的路径呢？结果你猜怎么着？管理员把脚本放在了一个普通用户可写的共享文件夹里！
那还等啥？我直接把原来的登录脚本改名，换上一个同名的恶意脚本，里面塞了一句 net localgroup administrators 我的账户 /add，第二天早上，那个倒霉管理员一登录，系统就自动跑了我准备好的“礼物”，得手后我激动得差点从椅子上跳起来——就这么简单？就这么简单！
关键点来了：这种登录脚本提权方法，拼的就是细心，你得检查每个可写的目录，特别是那些SYSVOL、NETLOGON共享或者本地启动文件夹，很多运维老哥疏忽大意，权限一开就是Everyone全权,这不是白给吗？
第二招：利用环境变量和通配符，玩的就是心跳
有些系统对登录脚本的路径进行了限制，但脚本内部的命令却写得稀烂，有的脚本喜欢用相对路径来调用某个工具，或者把环境变量写死，这时候,你就可以动点手脚。
我印象特深的一次，脚本里有句 %SystemRoot%\temp\update.exe，我心想，这路径虽然不能改，但我可以在那目录下试试运气，果然，那个temp目录权限设置得如同虚设，我提前放一个同名但恶意构造的update.exe进去，等脚本一执行，好家伙，直接以SYSTEM权限运行,那叫一个顺滑！
这里我得感慨一句：很多登录脚本提权方法的套路，其实就藏在那些“看似无关紧要”的细节里，你得有耐心，像侦探一样去拆解脚本的每一个逻辑分支，找到它信任的“外部输入”，这招虽然费时,但回报率极高。
第三招：组策略与计划任务的“骚操作”
还有一招，多见于Windows域环境，登录脚本往往跟组策略（GPO）绑定在一起，如果你能修改GPO的访问权限，或者能在一台被GPO影响的机器上做手脚,那提权就轻松多了。
我之前试过，通过修改GPO中的“登录脚本”设置，让它强制执行一个我指定的文件路径，我再在自己的低权限会话里，通过某些技巧（比如计划任务反弹）等待脚本触发，当你看到Shell带着管理员权限反弹回来的那一秒，那种成就感,简直比喝冰镇可乐还爽！
但注意了：这招对网络拓扑和域控权限要求高，很多时候你也得看运气，只要有一次成功,就够你吹半年的了。
防御比攻击更重要，别当“裸奔”的兔子
说到这儿，我可得给各位运维和系统管理员提个醒，你们天天看那些攻击文章，别光顾着学技术，更要懂得怎么防，依我看，避免被登录脚本提权方法干掉,至少得做到以下几点：
- 权限最小化：别再把Everyone写权限挂在嘴边了，登录脚本目录读写权限必须收紧,设定特定账户。
- 监控敏感路径：给
SYSVOL、NETLOGON、Startup等目录上“保险”,任何非授权修改都要报警。 - 禁用不必要脚本：能不用批处理和脚本就用PowerShell,至少它的执行策略和日志记录比CMD强不少。
- 多留个心眼：定期审计系统和域内的登录脚本内容，看看有没有被安插“私货”。
行了，今儿就聊到这儿，希望我的这些乱七八糟的经验，能让你对登录脚本提权方法有个更深的认识，技术是把双刃剑，用好了是利剑，用歪了那就是手铐。还是那句话，多学防御，少干坏事，咱们在安全的道路上才能走得更远。
对了，文中提到的这些思路，其实也算不上什么秘密，但真要玩得转，还得靠实践！下次有空，咱们再聊聊怎么应对这种风险，反正我是有一肚子话想说！咱们下回见！