UACME下载 - UACME源码下载

UACMe

通过滥用内置的 Windows AutoElevate 后门来破坏 Windows 用户帐户控制。

系统要求

x86-32/x64 Windows 7/8/8.1/10/11（客户端，但某些方法也适用于服务器版本）。
需要将 UAC 设置为默认设置的管理员帐户。

用法

从命令行运行可执行文件：akagi32 [Key] [Param] 或 akagi64 [Key] [Param]。有关详细信息，请参阅下面的“运行示例”。

第一个参数是要使用的方法号，第二个参数是要运行的可选命令（可执行文件名，包括完整路径）。第二个参数可以为空 - 在这种情况下，程序将从 system32 文件夹执行提升的 cmd.exe。

注意：自 3.5.0 版本起，所有“固定”方法都被视为过时，并与所有支持代码/单元一起删除。如果您仍然需要它们 - 使用 v3.2.x 分支

按键（点击展开/折叠）

作者：利奥·戴维森
- 类型：DLL劫持
- 方法：IFile操作
- 目标：system32sysprepsysprep.exe
- 组件：cryptbase.dll
- 实现：ucmStandardAutoElevation
- 适用于： Windows 7 (7600)
- 修复于：Windows 8.1 (9600)
  - 如何：sysprep.exe 强化 LoadFrom 清单元素
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson 导数
- 类型：DLL劫持
- 方法：IFile操作
- 目标：system32sysprepsysprep.exe
- 组件：ShCore.dll
- 实现：ucmStandardAutoElevation
- 适用于： Windows 8.1 (9600)
- 修复于：Windows 10 TP (> 9600)
  - 如何：ShCore.dll 移动到 KnownDlls 的副作用
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson 由 WinNT/Pitou 衍生
- 类型：DLL劫持
- 方法：IFile操作
- 目标：system32oobesetupsqm.exe
- 组件：WdsCore.dll
- 实现：ucmStandardAutoElevation
- 适用于： Windows 7 (7600)
- 已修复：Windows 10 TH2 (10558)
  - 方式：OOBE 重新设计的副作用
- 代码状态：从 v3.5.0 开始删除？
作者：Jon Ericson、WinNT/Gootkit、mzH
- 类型：AppCompat
- 方法：RedirectEXE 垫片
- 目标：system32cliconfg.exe
- 成分）： -
- 实现：ucmShimRedirectEXE
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 TP (> 9600)
  - 如何：删除 Sdbinst.exe 自动提升，其余 Windows 版本的 KB3045645/KB3048097
- 代码状态：从 v3.5.0 开始删除？
作者：WinNT/Simda
- 类型：提升式 COM 接口
- 方法：ISecurityEditor
- 目标：HKLM 注册表项
- 成分）： -
- 实现：ucmSimdaTurnOffUac
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 TH1 (10147)
  - 如何：ISecurityEditor 界面方法更改
- 代码状态：从 v3.5.0 开始删除？
作者：Win32/Carberp
- 类型：DLL劫持
- 方法：WUSA
- 目标：ehomemcx2prov.exe、system32migwizmigwiz.exe
- 组件：WdsCore.dll、CryptBase.dll、CryptSP.dll
- 实现：ucmWusa方法
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 TH1 (10147)
  - 如何：删除 WUSA /extract 选项
- 代码状态：从 v3.5.0 开始删除？
作者：Win32/Carberp 衍生品
- 类型：DLL劫持
- 方法：WUSA
- 目标：system32cliconfg.exe
- 组件：ntwdblib.dll
- 实现：ucmWusa方法
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 TH1 (10147)
  - 如何：删除 WUSA /extract 选项
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson 由 Win32/Tilon 衍生
- 类型：DLL劫持
- 方法：IFile操作
- 目标：system32sysprepsysprep.exe
- 组件：Actionqueue.dll
- 实现：ucmStandardAutoElevation
- 适用于： Windows 7 (7600)
- 修复于：Windows 8.1 (9600)
  - 如何：sysprep.exe 强化 LoadFrom 清单
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson，WinNT/Simda，Win32/Carberp 衍生品
- 类型：DLL劫持
- 方法：IFileOperation、ISecurityEditor、WUSA
- 目标：IFEO 注册表项，system32cliconfg.exe
- 组件：攻击者定义的应用程序验证程序 Dll
- 实现：ucmAvrf方法
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 TH1 (10147)
  - 如何：删除 WUSA /extract 选项，更改 ISecurityEditor 界面方法
- 代码状态：从 v3.5.0 开始删除？
作者：WinNT/Pitou，Win32/Carberp 衍生品
- 类型：DLL劫持
- 方法：IFileOperation、WUSA
- 目标：system32{New}或{Existing}{autoelevated}.exe，例如winsat.exe
- 组件：攻击者定义的 dll，例如 PowProf.dll、DevObj.dll
- 实现：ucmWinSAT方法
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 TH2 (10548)
  - 如何：AppInfo 提升应用程序路径控制强化
- 代码状态：从 v3.5.0 开始删除？
作者：Jon Ericson、WinNT/Gootkit、mzH
- 类型：AppCompat
- 方法：Shim内存补丁
- 目标：system32iscsicli.exe
- 组件：攻击者准备的 shellcode
- 实施：ucmShimPatch
- 适用于： Windows 7 (7600)
- 修复于：Windows 8.1 (9600)
  - 如何：删除 Sdbinst.exe 自动提升，其余 Windows 版本的 KB3045645/KB3048097
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson 导数
- 类型：DLL劫持
- 方法：IFile操作
- 目标：system32sysprepsysprep.exe
- 组件：dbgcore.dll
- 实现：ucmStandardAutoElevation
- 适用于：Windows 10 TH1 (10240)
- 修复于：Windows 10 TH2 (10565)
  - 如何：sysprep.exe 清单已更新
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson 导数
- 类型：DLL劫持
- 方法：IFile操作
- 目标：system32mmc.exe EventVwr.msc
- 组件：elext.dll
- 实现：ucmMMC方法
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS1 (14316)
  - 如何：删除缺少的依赖项
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson，WinNT/Sirefef 衍生物
- 类型：DLL劫持
- 方法：IFile操作
- 目标：systemcredwiz.exe、system32wbemoobe.exe
- 组件：netutils.dll
- 实现：ucmSirefefMethod
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 TH2 (10548)
  - 如何：AppInfo 提升应用程序路径控制强化
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson，Win32/Addrop，Metasploit 衍生品
- 类型：DLL劫持
- 方法：IFile操作
- 目标：system32cliconfg.exe
- 组件：ntwdblib.dll
- 实现：ucmGenericAutoelevation
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS1 (14316)
  - 如何：删除 Cliconfg.exe 自动提升
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson 导数
- 类型：DLL劫持
- 方法：IFile操作
- 目标：system32GWXGWXUXWorker.exe、system32inetsrvinetmgr.exe
- 组件：SLC.dll
- 实施：ucmGWX
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS1 (14316)
  - 方法：AppInfo 提升应用程序路径控制和 inetmgr 可执行文件强化
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson 导数
- 类型：Dll劫持（导入转发）
- 方法：IFile操作
- 目标：system32sysprepsysprep.exe
- 组件：unbcl.dll
- 实现：ucmStandardAutoElevation2
- 适用于： Windows 8.1 (9600)
- 已修复：Windows 10 RS1 (14371)
  - 如何：sysprep.exe 清单已更新
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson 导数
- 类型：Dll 劫持（清单）
- 方法：IFile操作
- 目标：system32taskhost.exe、system32tzsync.exe（任何没有清单的 ms exe）
- 组件：攻击者定义
- 实施：ucmAutoElevateManifest
- 适用于： Windows 7 (7600)
- 已修复：Windows 10 RS1 (14371)
  - 如何：审查清单解析逻辑
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson 导数
- 类型：DLL劫持
- 方法：IFile操作
- 目标：system32inetsrvinetmgr.exe
- 组件：MsCoree.dll
- 实现：ucmInetMgrMethod
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS1 (14376)
  - 如何：inetmgr.exe 可执行清单强化，MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson 导数
- 类型：DLL劫持
- 方法：IFile操作
- 目标：system32mmc.exe、Rsop.msc
- 组件：WbemComn.dll
- 实现：ucmMMC方法
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS3 (16232)
  - 方式：Target 要求 wbemcomn.dll 由 MS 签名
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson 导数
- 类型：DLL劫持
- 方法：IFileOperation、SxS DotLocal
- 目标：system32sysprepsysprep.exe
- 组件：comctl32.dll
- 实现：ucmSXS方法
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS3 (16232)
  - 如何：MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson 导数
- 类型：DLL劫持
- 方法：IFileOperation、SxS DotLocal
- 目标：system32consent.exe
- 组件：comctl32.dll
- 实现：ucmSXS方法
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v2.5.0中添加
作者：Leo Davidson 导数
- 类型：DLL劫持
- 方法：IFile操作
- 目标：system32pkgmgr.exe
- 组件：DismCore.dll
- 实现：ucmDismMethod
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v2.5.1中添加
作者：破坏恶意软件
- 类型：外壳API
- 方法：环境变量扩展
- 目标：system32CompMgmtLauncher.exe
- 组件：攻击者定义
- 实现：ucmCometMethod
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS2 (15031)
  - 如何：删除 CompMgmtLauncher.exe 自动提升
- 代码状态：从 v3.5.0 开始删除？
作者: Enigma0x3
- 类型：外壳API
- 方法：注册表键值操作
- 目标：system32EventVwr.exe、system32CompMgmtLauncher.exe
- 组件：攻击者定义
- 实现：ucmHijackShellCommandMethod
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS2 (15031)
  - 方法：重新设计 EventVwr.exe，删除 CompMgmtLauncher.exe 自动提升
- 代码状态：从 v3.5.0 开始删除？
作者: Enigma0x3
- 类型：竞赛条件
- 方法：文件覆盖
- 目标：%temp%GUIDdismhost.exe
- 组件：LogProvider.dll
- 实现：ucmDiskCleanupRaceCondition
- 适用于：Windows 10 TH1 (10240)
- 始终通知兼容
- 修复于：Windows 10 RS2 (15031)
  - 如何：更改文件安全权限
- 代码状态：从 v3.5.0 开始删除？
添加一名作者
- 类型：提升式 COM 接口
- 方法：IARPUninstallStringLauncher
- 目标：攻击者定义
- 组件：攻击者定义
- 实现：ucmUninstallLauncherMethod
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS3 (16199)
  - 如何：从 COMAutoApprovalList 中删除 UninstallStringLauncher 接口
- 代码状态：从 v3.5.0 开始删除？
作者：利用/沙虫
- 类型：白名单组件
- 方法：InfDefaultInstall
- 目标：攻击者定义
- 组件：攻击者定义
- 实现：ucmSandworm方法
- 适用于： Windows 7 (7600)
- 修复于：Windows 8.1 (9600)
  - 如何：从 g_lpAutoApproveEXEList 中删除 InfDefaultInstall.exe (MS14-060)
- 代码状态：从 v3.5.0 开始删除？
作者: Enigma0x3
- 类型：外壳API
- 方法：注册表键值操作
- 目标：system32sdclt.exe
- 组件：攻击者定义
- 实现：ucmAppPathMethod
- 适用于：Windows 10 TH1 (10240)
- 修复于：Windows 10 RS3 (16215)
  - 如何：Shell API 更新
- 代码状态：从 v3.5.0 开始删除？
作者：Leo Davidson 导数，lhc645
- 类型：DLL劫持
- 方法：WOW64记录器
- 目标：syswow64{任何提升的 exe，例如 wusa.exe}
- 组件：wow64log.dll
- 实现：ucmWow64LoggerMethod
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v2.7.0中添加
作者: Enigma0x3
- 类型：外壳API
- 方法：注册表键值操作
- 目标：system32sdclt.exe
- 组件：攻击者定义
- 实现：ucmSdcltIsolatedCommandMethod
- 适用于：Windows 10 TH1 (10240)
- 修复于：Windows 10 RS4 (17025)
  - 如何：Shell API / Windows 组件更新
- 代码状态：从 v3.5.0 开始删除？
添加一名作者
- 类型：DLL劫持
- 方法：使用 uiAccess 应用程序绕过 UIPI
- 目标：Program FilesWindows Media Playerosk.exe、system32EventVwr.exe、system32mmc.exe
- 组件：duser.dll、osksupport.dll
- 实现：ucmUiAccessMethod
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v2.7.1中添加
作者：winscripting.blog
- 类型：外壳API
- 方法：注册表键值操作
- 目标：system32fodhelper.exe
- 组件：攻击者定义
- 实现：ucmShellRegModMethod
- 适用于：Windows 10 TH1 (10240)
- 固定于：未固定？
  - 如何： -
- 代码状态：v2.7.2中添加
作者：詹姆斯·福肖
- 类型：外壳API
- 方法：环境变量扩展
- 目标：system32svchost.exe 通过 system32schtasks.exe
- 组件：攻击者定义
- 实现：ucmDiskCleanupEnvironmentVariable
- 适用于： Windows 8.1 (9600)
- 始终通知兼容
- 已修复：Windows 10（静默忍者补丁，推测为 2023 年 5 月安全公告）
  - 如何：Shell API / Windows 组件更新
- 代码状态：v2.7.2中添加
作者：中央情报局和詹姆斯·福肖
- 类型：冒充
- 方法：代币操纵
- 目标：自动提升的应用程序
- 组件：攻击者定义
- 实现：ucmTokenModification
- 适用于： Windows 7 (7600)
- AlwaysNotify 兼容，请参阅注释
- 修复于：Windows 10 RS5 (17686)
  - 如何：ntoskrnl.exe->SeTokenCanImpersonate 添加额外的访问令牌检查
- 代码状态：从 v3.5.0 开始删除？
作者：Thomas Vanhoutte 又名 SandboxEscaper
- 类型：竞赛条件
- 方法：NTFS重解析点和Dll劫持
- 目标：wusa.exe、pkgmgr.exe
- 组件：攻击者定义
- 实现：ucmJunctionMethod
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v2.7.4中添加
作者：埃内斯托·费尔南德斯、托马斯·万胡特
- 类型：DLL劫持
- 方法：SxS DotLocal、NTFS 重解析点
- 目标：system32dccw.exe
- 组件：GdiPlus.dll
- 实现：ucmSXSDccwMethod
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v2.7.5中添加
作者：克莱门特·鲁奥
- 类型：白名单组件
- 方法：APPINFO命令行欺骗
- 目标：system32mmc.exe
- 组件：攻击者定义
- 实现：ucmHakrilMethod
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v2.7.6中添加
作者：斯特凡·坎塔克
- 类型：DLL劫持
- 方法：.NET 代码分析器
- 目标：system32mmc.exe
- 组件：攻击者定义
- 实现：ucmCorProfilerMethod
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v2.7.7中添加
作者：鲁本·布南
- 类型：COM 处理程序劫持
- 方法：注册表键值操作
- 目标：system32mmc.exe、system32recdisc.exe
- 组件：攻击者定义
- 实现：ucmCOMHandlersMethod
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 19H1 (18362)
  - 方式：Windows 更改的副作用
- 代码状态：从 v3.5.0 开始删除？
作者：奥德瓦·莫
- 类型：提升式 COM 接口
- 方法：ICMLuaUtil
- 目标：攻击者定义
- 组件：攻击者定义
- 实现：ucmCMLuaUtilShellExecMethod
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v2.7.9中添加
作者：BreakingMalware 和 Enigma0x3
- 类型：提升式 COM 接口
- 方法：IFwCplLua
- 目标：攻击者定义
- 组件：攻击者定义
- 实现：ucmFwCplLuaMethod
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS4 (17134)
  - 如何：Shell API 更新
- 代码状态：从 v3.5.0 开始删除？
作者：奥德瓦莫衍生
- 类型：提升式 COM 接口
- 方法：IColorDataProxy、ICMLuaUtil
- 目标：攻击者定义
- 组件：攻击者定义
- 实现：ucmDccwCOM方法
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v2.8.3中添加
作者：字节码77
- 类型：外壳API
- 方法：环境变量扩展
- 目标：多个自动提升的进程
- 组件：每个目标不同
- 实现：ucmVolatileEnvMethod
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS3 (16299)
  - 如何：在进程创建期间忽略当前用户系统目录变量
- 代码状态：从 v3.5.0 开始删除？
作者：字节码77
- 类型：外壳API
- 方法：注册表键值操作
- 目标：system32slui.exe
- 组件：攻击者定义
- 实现：ucmSluiHijackMethod
- 适用于： Windows 8.1 (9600)
- 修复于：Windows 10 20H1 (19041)
  - 方式：Windows 更改的副作用
- 代码状态：从 v3.5.0 开始删除？
作者：匿名
- 类型：竞赛条件
- 方法：注册表键操作
- 目标：system32BitlockerWizardElev.exe
- 组件：攻击者定义
- 实现：ucmBitlockerRCMethod
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS4 (>16299)
  - 如何：Shell API 更新
- 代码状态：从 v3.5.0 开始删除？
作者：clavoillotte & 3gstudent
- 类型：COM 处理程序劫持
- 方法：注册表键值操作
- 目标：system32mmc.exe
- 组件：攻击者定义
- 实现：ucmCOMHandlersMethod2
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 19H1 (18362)
  - 方式：Windows 更改的副作用
- 代码状态：从 v3.5.0 开始删除？
添加一名作者
- 类型：提升式 COM 接口
- 方法：ISPPLUA对象
- 目标：攻击者定义
- 组件：攻击者定义
- 实现：ucmSPPLUAObjectMethod
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS5 (17763)
  - 如何：ISPPLUAObject接口方法改变
- 代码状态：从 v3.5.0 开始删除？
添加一名作者
- 类型：提升式 COM 接口
- 方法：ICreateNewLink
- 目标：system32TpmInit.exe
- 组件：WbemComn.dll
- 实现：ucmCreateNewLinkMethod
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS1 (14393)
  - How：consent.exe的副作用COMAutoApprovalList介绍
- 代码状态：从 v3.5.0 开始删除？
作者：匿名
- 类型：提升式 COM 接口
- 方法：IDateTimeStateWrite、ISPPLUAObject
- 目标：w32time 服务
- 组件：w32time.dll
- 实现：ucmDateTimeStateWriterMethod
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS5 (17763)
  - 如何：ISPPLUAObject 接口更改的副作用
- 代码状态：从 v3.5.0 开始删除？
作者：bytecode77衍生品
- 类型：提升式 COM 接口
- 方法：IAccessibilityCplAdmin
- 目标：system32rstrui.exe
- 组件：攻击者定义
- 实现：ucmAcCplAdminMethod
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS4 (17134)
  - 如何：Shell API 更新
- 代码状态：从 v3.5.0 开始删除？
作者：大卫·威尔斯
- 类型：白名单组件
- 方法：AipNormalizePath解析滥用
- 目标：攻击者定义
- 组件：攻击者定义
- 实现：ucmDirectoryMockMethod
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.0.4中添加
作者：埃默里克·纳西
- 类型：外壳API
- 方法：注册表键值操作
- 目标：system32sdclt.exe
- 组件：攻击者定义
- 实现：ucmShellRegModMethod
- 适用于： Windows 10 (14393)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.1.3中添加
添加一名作者
- 类型：DLL劫持
- 方法：滥用Dll路径搜索
- 目标：syswow64SystemPropertiesAdvanced.exe 和其他 SystemProperties*.exe
- 组件：AppDataLocalMicrosoftWindowsAppssrrstr.dll
- 实现：ucmEgre55方法
- 适用于： Windows 10 (14393)
- 修复于：Windows 10 19H1 (18362)
  - 如何：SysDm.cpl!_CreateSystemRestorePage 已更新以进行安全加载库调用
- 代码状态：从 v3.5.0 开始删除？
作者：詹姆斯·福肖
- 类型：GUI 黑客
- 方法：通过修改token绕过UIPI
- 目标：system32osk.exe、system32msconfig.exe
- 组件：攻击者定义
- 实现：ucmTokenModUIAccessMethod
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.1.5中添加
作者：哈希姆·贾瓦德
- 类型：外壳API
- 方法：注册表键操作
- 目标：system32WSReset.exe
- 组件：攻击者定义
- 实现：ucmShellRegModMethod2
- 适用于：Windows 10 (17134)
- 修复于：Windows 11 (22000)
  - 方法：Windows 组件重新设计
- 代码状态：从 v3.5.7 开始删除？
作者：Leo Davidson 由 Win32/Gapz 衍生
- 类型：DLL劫持
- 方法：IFile操作
- 目标：system32sysprepsysprep.exe
- 组件：unattend.dll
- 实现：ucmStandardAutoElevation
- 适用于： Windows 7 (7600)
- 修复于：Windows 8.1 (9600)
  - 如何：sysprep.exe 强化 LoadFrom 清单元素
- 代码状态：从 v3.5.0 开始删除？
添加一名作者
- 类型：提升式 COM 接口
- 方法：IEditionUpgradeManager
- 目标：system32clipup.exe
- 组件：攻击者定义
- 实现：ucmEditionUpgradeManagerMethod
- 适用于： Windows 10 (14393)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.2.0中添加
作者：詹姆斯·福肖
- 类型：AppInfo ALPC
- 方法：RAiLaunchAdminProcess 和 DebugObject
- 目标：攻击者定义
- 组件：攻击者定义
- 实现：ucmDebugObjectMethod
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.2.3中添加
作者：WinNT/Glupteba 的 Enigma0x3 衍生品
- 类型：外壳API
- 方法：注册表键值操作
- 目标：system32CompMgmtLauncher.exe
- 组件：攻击者定义
- 实现：ucmGluptebaMethod
- 适用于： Windows 7 (7600)
- 修复于：Windows 10 RS2 (15063)
  - 如何：删除 CompMgmtLauncher.exe 自动提升
- 代码状态：从 v3.5.0 开始删除？
作者：Nassim Asrir 的 Enigma0x3/bytecode77 衍生品
- 类型：外壳API
- 方法：注册表键操作
- 目标：system32slui.exe、system32changepk.exe
- 组件：攻击者定义
- 实现：ucmShellRegModMethod
- 适用于： Windows 10 (14393)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.2.5中添加
作者：winscripting.blog
- 类型：外壳API
- 方法：注册表键操作
- 目标：system32computerdefaults.exe
- 组件：攻击者定义
- 实现：ucmShellRegModMethod
- 适用于：Windows 10 RS4 (17134)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.2.6中添加
作者：阿鲁什·阿加拉姆普尔
- 类型：DLL劫持
- 方法：ISecurityEditor
- 目标：本机图像缓存元素
- 组件：攻击者定义
- 实现：ucmNICPoisonMethod
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.2.7中添加
作者：阿鲁什·阿加拉姆普尔
- 类型：提升式 COM 接口
- 方法：IIEAxiAdminInstaller、IIEAxiInstaller2、IFileOperation
- 目标：IE 附加安装缓存
- 组件：攻击者定义
- 实现：ucmIeAddOnInstallMethod
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.5.1中添加
作者：阿鲁什·阿加拉姆普尔
- 类型：提升式 COM 接口
- 方法：IWscAdmin
- 目标：Shell 协议劫持
- 组件：攻击者定义
- 实现：ucmWscActionProtocolMethod
- 适用于： Windows 7 (7600)
- 修复于：Windows 11 24H2 (26100)
  - 方式：Windows 更改的副作用
- 代码状态：v3.5.2中添加
作者：阿鲁什·阿加拉姆普尔
- 类型：提升式 COM 接口
- 方法：IFwCplLua、Shell协议劫持
- 目标：Shell 协议注册表项和环境变量
- 组件：攻击者定义
- 实现：ucmFwCplLuaMethod2
- 适用于： Windows 7 (7600)
- 修复于：Windows 11 24H2 (26100)
  - 方式：Windows 更改的副作用
- 代码状态：v3.5.3中添加
作者：阿鲁什·阿加拉姆普尔
- 类型：外壳API
- 方法：Shell协议劫持
- 目标：system32fodhelper.exe
- 组件：攻击者定义
- 实现：ucmMsSettingsProtocolMethod
- 适用于： Windows 10 TH1 (10240)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.5.4中添加
作者：阿鲁什·阿加拉姆普尔
- 类型：外壳API
- 方法：Shell协议劫持
- 目标：system32wsreset.exe
- 组件：攻击者定义
- 实现：ucmMsStoreProtocolMethod
- 适用于：Windows 10 RS5 (17763)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.5.5中添加
作者：阿鲁什·阿加拉姆普尔
- 类型：外壳API
- 方法：环境变量扩展、Dll劫持
- 目标：system32taskhostw.exe
- 组件：pcadm.dll
- 实现：ucmPca方法
- 适用于： Windows 7 (7600)
- 始终通知兼容
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.5.6中添加
添加一名作者
- 类型：外壳API
- 方法：注册表键值操作
- 目标：system32fodhelper.exe、system32computerdefaults.exe
- 组件：攻击者定义
- 实现：ucmShellRegModMethod3
- 适用于： Windows 10 (10240)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.5.7中添加
作者：阿鲁什·阿加拉姆普尔
- 类型：DLL劫持
- 方法：ISecurityEditor
- 目标：本机图像缓存元素
- 组件：攻击者定义
- 实现：ucmNICPoisonMethod2
- 适用于：Windows 7 RTM (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.5.8中添加
作者：埃默里克·纳西
- 类型：DLL劫持
- 方法：滥用Dll路径搜索
- 目标：syswow64msdt.exe、system32sdiagnhost.exe
- 组件：BluetoothDiagnosticUtil.dll
- 实现：ucmMsdtMethod
- 适用于： Windows 10 (10240)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.5.9中添加
作者：orange_8361 和 antonioCoco
- 类型：外壳API
- 方法：.NET反序列化
- 目标：system32mmc.exe EventVwr.msc
- 组件：攻击者定义
- 实现：ucmDotNetSerialMethod
- 适用于：Windows 7 RTM (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.6.0中添加
添加一名作者
- 类型：提升式 COM 接口
- 方法：IElevatedFactoryServer
- 目标：攻击者定义
- 组件：攻击者定义
- 实现：ucmVFServerTaskSchedMethod
- 适用于： Windows 8.1 (9600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.6.1中添加
作者：zcgonvh Wh04m1001 的衍生品
- 类型：提升式 COM 接口
- 方法：IDiagnosticProfile
- 目标：攻击者定义
- 组件：攻击者定义
- 实现：ucmVFServerDiagProfileMethod
- 适用于： Windows 7 RTM (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.6.2中添加
添加一名作者
- 类型：DLL劫持
- 方法：DLL路径搜索滥用、注册表项操纵
- 目标：syswow64iscsicpl.exe
- 组件：iscsiexe.dll
- 实现：ucmIscsiCplMethod
- 适用于：Windows 7 RTM (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.6.3中添加
作者：阿鲁什·阿加拉姆普尔
- 类型：DLL劫持
- 方法：IFile操作
- 目标：system32mmc.exe
- 组件：atl.dll
- 实现：ucmAtlHijackMethod
- 适用于：Windows 7 RTM (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.6.4中添加
添加一名作者
- 类型：冒充
- 方法：SSPI 数据报
- 目标：攻击者定义
- 组件：攻击者定义
- 实现：ucmSspiDatagramMethod
- 适用于：Windows 7 RTM (7600)
- 始终通知兼容
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.6.5中添加
作者：詹姆斯·福肖和斯特凡·坎塔克
- 类型：GUI 黑客
- 方法：通过修改token绕过UIPI
- 目标：system32osk.exe、system32mmc.exe
- 组件：攻击者定义
- 实现：ucmTokenModUIAccessMethod2
- 适用于： Windows 7 (7600)
- 固定于：未固定？
  - 如何： -
- 代码状态：v3.6.6中添加

笔记：

方法 (30) (63) 及更高版本仅在 x64 版本中实现；
方法(30)需要x64，因为它滥用了WOW64子系统功能；
方法 (55) 并不真正可靠（与任何 GUI hack 一样），只是为了好玩而包含在内；
方法(78)要求当前用户帐户密码不能为空。

运行示例：

赤城32.exe 23
赤城64.exe 61
akagi32 23 c:windowssystem32calc.exe
akagi64 61 c:windowssystem32charmap.exe

警告

该工具仅显示恶意软件使用的流行 UAC 绕过方法，并以不同的方式重新实现其中一些方法，改进原始概念。有多种不同的方法，但尚未为公众所知。请注意这一点；
该工具不适用于 AV 测试，也未经过测试可在恶劣的 AV 环境中工作，如果您仍计划将其与已安装的 bloatware AV 软件一起使用 - 使用它的风险由您自行承担；
有些 AV 可能会将此工具标记为 HackTool，MSE/WinDefender 不断地将其标记为恶意软件，不是；
如果您在真实计算机上运行此程序，请记住在使用后删除所有程序残留物，有关其删除到系统文件夹的文件的更多信息，请参阅源代码；
大多数方法是为 x64 创建的，没有考虑 x86-32 支持。我认为支持 32 位版本的 Windows 或 wow64 没有任何意义，但是通过一些小的调整，它们中的大多数也可以在 wow64 下运行。

如果您想知道为什么它仍然存在并且有效 - 这里是解释 - 官方的 Microsoft WHITEFLAG （包括完全不称职的声明作为奖励） https://devblogs.microsoft.com/oldnewthing/20160816-00/?p=94105

Windows 10 支持和测试政策

UACMe 仅使用 LSTB/LTSC 变体 (1607/1809) 和最新 RTM-1 版本进行测试，例如，如果当前版本是 2004，则将在 2004 (19041) 和先前版本 1909 (18363) 上进行测试；
不支持内部构建，因为方法可能已修复。

保护

没有管理权限的帐户。

恶意软件的使用

我们对该工具的恶意使用不承担任何责任。它是免费、开源的，并按原样提供给所有人。

其他用途

目前被“THOR APT”扫描仪（来自德国的手工模式匹配欺诈软件）用作“签名”。我们对该工具在欺诈软件中的使用不承担任何责任；
存储库 https://github.com/hfiref0x/UACME 及其内容是 UACMe 代码的唯一真正来源。我们与该项目的外部链接、任何地方的提及以及修改（分叉）无关；
2016 年 7 月，所谓的“安全公司”Cymmetria 发布了有关名为“Patchwork”的 script-kiddie 恶意软件捆绑包的报告，并将其错误标记为 APT。他们声称它使用的是“UACME 方法”，该方法实际上只是对 UACMe v1.9 的注入器 dll 进行了轻微且不专业的修改，并以恶意软件自我实现的方式使用了 Carberp/Pitou 混合方法。对于第三方“安全公司”的可疑广告活动中 UACMe 的使用，我们不承担任何责任。

建造

UACMe 附带完整的源代码，用 C 语言编写；
为了从源代码构建，您需要 Microsoft Visual Studio 2019 及更高版本。

编译的二进制文件

从 2.8.9 开始不再提供，以后也不会再提供。原因（以及为什么您也不应该向公众提供它们）：
- 如果你简单地看一下这个项目，它就是一个 HackTool，尽管最初的目标是成为一个演示者。当然，一些 AV 将其检测为 HackTool（例如 MS WD），但大多数 VirusTotal 患者将其检测为通用“恶意软件”。这当然是不正确的，但不幸的是，一些懒惰的恶意软件编写者盲目地将代码复制粘贴到他们的垃圾软件中（甚至简单地直接使用这个工具），因此一些反病毒软件根据项目代码部分创建了签名；
- 通过向每个人提供编译后的二进制文件，您可以使脚本小子的生活变得更加轻松，因为需要从源代码进行编译对于异常愚蠢的脚本小子和“按钮点击者”来说是完美的障碍；
- 在存储库中编译二进制文件最终会导致各种内容过滤器（SmartScreen、Google 安全浏览等）将此存储库页面标记为恶意（由于上述原因）。
该决定是最终决定，不会改变。

指示

首先为要构建的解决方案中的项目选择平台工具集（项目->属性->常规）：
- Visual Studio 2019 v142；
- 适用于 Visual Studio 2022 的 v143。
对于 v140 及更高版本，设置目标平台版本（项目 -> 属性 -> 常规）：
- 如果是v140则选择8.1（注意必须安装Windows 8.1 SDK）；
- 如果 v141 及以上，则选择 10。
构建二进制文件需要以下 SDK：
- Windows 8.1或Windows 10 SDK（使用19041版本测试）
- NET Framework SDK（使用4.8版本测试）
构建工作二进制文件：
- 编译有效负载单元
- 编译Naka模块
- 使用 Naka 模块加密所有有效负载单元
- 使用 Naka 模块为这些单元生成秘密 blob
- 将编译的单元和秘密 blob 移动到 AkagiBin 目录
- 重建赤城

参考

Windows 7 UAC 白名单，http://www.pretentiousname.com/misc/win7_uac_whitelist2.html
恶意应用程序兼容性垫片，https://www.blackhat.com/docs/eu-15/materials/eu-15-Pierce-Defending-Against-Malicious-Application-Compatibility-Shims-wp.pdf
来自 WinSxS 开发团队博客的 Junfeng Zhang，https://blogs.msdn.microsoft.com/junfeng/
超越好 ol' Run 键，系列文章，http://www.hexacorn.com/blog
KernelMode.Info UACMe 线程，https://www.kernelmode.info/forum/viewtopicf985.html?f=11&t=3643
命令注入/提升 - 重新访问环境变量，https://writingmalware.com/vulnerability/command-injection-and-elevation-environment-variables-revisited
使用 eventvwr.exe 和注册表劫持的“无文件”UAC 绕过，https://enigma0x3.net/2016/08/15/fileless-uac-bypass-using-eventvwr-exe-and-registry-hijacking/
使用磁盘清理在 Windows 10 上绕过 UAC，https://enigma0x3.net/2016/07/22/bypassing-uac-on-windows-10-using-disk-cleanup/
使用IARPUninstallStringLauncher COM接口绕过UAC，http://www.freebuf.com/articles/system/116611.html
使用应用程序路径绕过UAC，https://enigma0x3.net/2017/03/14/bypassing-uac-using-usion-app-paths/
使用sdclt.exe，https：//enigma0x3.net/2017/03/17/fileless-uac-bypass-using-sdclt-exe/
UAC旁路或有关三个升级的故事，https://habrahabr.ru/company/pm/blog/328008/
在UAC旁路的计划任务中利用环境变量，https://tyranidslair.blogspot.ru/2017/05/exploiting-environment-variables-in.html
第一个条目：欢迎和无备UAC旁路，https：//winscripting.blog/2017/05/12/first-entry-welcome-and-uac-bypass/
在3个部分中阅读UAC围绕UAC的方式：
1. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-way-around-uac-part-1.html
2. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-way-around-uac-part-2.html
3. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-way-around-uac-part-3.html
CMSTP.EXE的研究，https://msitpros.com/?p=3960
UAC通过高架.NET应用程序，https://offsec.provadys.com/uac-bypass-dotnet.html
UAC旁路通过嘲笑可信的目录，https://medium.com/tenable-techblog/uac-bypass-by-mocking-mocking-trusted-directories-24a96675f6e
另一个SDCLT UAC旁路，http://blog.sevagas.com/?yet-another-sdclt-uac-bypass
UAC旁路通过SystemPropertiesAdvanced.EXE和DLL劫持，https://egre55.github.io/system-properties-uac-bypass/
访问UIACCESS的访问令牌，https://tyranidslair.blogspot.com/2019/02/accessing-access-tokens-tokens-tokens-for-uiaccess.html
Windows商店二进制中的无备UAC旁路
从.NET，https://googleprojectzero.blogspot.com/2019/12/calling-local-windows-rpc-servers-from.html调用本地Windows RPC服务器。
Microsoft Windows 10 UAC绕过本地特权升级利用，https://packetstormsecurity.com/files/155927/microsoft-windows-10-local-privilege-escalation.html
UACME 3.5，WD和缓解方法，https：//swapcontext.blogspot.com/2020/10/uacme-35-wd-and-ways-of-mitigation.html
UAC绕过ComautoApprovallist，https://swapcontext.blogspot.com/2020/11/uac-bypasses-from-comautoapprovallist.html
使用UAC旁路的程序化标识符（Progids）
MSDT DLL劫持UAC旁路，https://blog.sevagas.com/?msdt-dll-hijack-uac-bypass
UAC绕过Eventvwr.exe中的.NET避难所漏洞
Advanced Windows Task Scheduler Playbook - Part.2 from COM to UAC bypass and get SYSTEM directly, http://www.zcgonvh.com/post/Advanced_Windows_Task_Scheduler_Playbook-Part.2_from_COM_to_UAC_bypass_and_get_SYSTEM_dirtectly.html
使用SSPI数据报环境旁路，https://splintercod3.blogspot.com/p/bypassing-uac-with-with-sspi-datagram.html
减轻Windows'®UAC的一些利用，https://skanthak.hier-im-netz.de/uacamole.html