權限提升八大經典手法 (NT 4.0 / 2000 通用)

方法	原理	前提/限制	修補狀態
1. 下載 SAM 破解	取得 %windir%\repair\sam.* 離線破解	需存取 repair 目錄；僅為備份時帳號/密碼	物理/權限防護
2. pwdump/pwdump2 導出雜湊	記憶體讀取當前帳號 LM/NTLM 雜湊 → 破解	需管理員/系統權限執行；Guest 無法執行	權限控制
3. 遠端枚舉破解	Enum + 字典對 139 端口猜解	需開放 NetBIOS；帳號鎖定策略會阻斷	防火牆封 139、鎖定策略
4. GetAdmin / PipeUpAdmin	利用核心漏洞將當前使用者加入 Administrators	GetAdmin: NT4 SP4+ 已修補；PipeUpAdmin: Win2000 普通用戶/Guest 均可執行	安裝補丁
5. Shell 啟動路徑劫持	註冊表 UserInit/Shell 值用相對路徑，啟動順序可被劫持	需系統磁碟根目錄寫入權限 (通常管理員已禁寫)	安裝補丁
6. 木馬植入	上傳木馬 → 等待管理員登入觸發 → 取得管理員權限	殺毒軟體攔截、Guest 無寫入權限、需社交工程	防毒、權限、教育
7. GINA/GinaStub 攔截密碼	替換 msgina.dll 或掛鉤 GINA 介面竊取登入憑證	安裝複雜、失敗導致無法開機、非漏洞屬後門	檔案完整性監控、實體安全
8. 本地緩衝區溢位	NT4 IIS ASP 擴展、Win2K 靜態影像服務等本地溢位提權	需寫入腳本目錄/安裝特定裝置；非持續運行服務	安裝補丁

Windows 2000 專屬提權漏洞

漏洞	描述	條件/限制	修補
輸入法漏洞	任意使用者可在登入畫面以 LocalSystem 身分執行程式	需實體接觸；若開啟終端服務可遠端利用	有補丁
Network DDE DSDM 服務	普通用戶/Guest 可利用此服務以 LocalSystem 執行任意程式	服務預設未啟動，需先啟動	有補丁
Telnet 命名管道競爭	預測管道名稱，預先建立劫持 Telnet 服務進程上下文	需 Telnet 服務運行	有補丁
Debug Registers (DR0-DR7)	硬體除錯暫存器全域共享，設置硬體中斷點影響所有進程	需能在 Win2K 執行程式；可取得 System32/註冊表寫入權	無官方補丁，僅能阻擋攻擊者入口

防禦綜合策略

1. 最小權限原則：日常非 Administrator、Guest 停用
2. 補丁管理：自動更新、WSUS、定期掃描 MBSA
3. 服務精簡：停用/移除非必要服務 (IIS、Telnet、DDE 等)
4. 實體/開機安全：BIOS 密碼、Syskey、禁用外部啟動
5. 稽核與監控：登入失敗、特權使用、檔案存取、進程建立
6. 防毒/HIPS：即時掃描、行為阻擋 (木馬、GINA 替換)
7. 應用層防護：URLScan、WAF、參數化查詢

結語

權限提升手法雖多，核心皆利用預設配置不足、未修補漏洞、過度授權、實體接觸四大根因。系統性硬化、持續修補、纵深防禦，才能將攻擊面壓縮至最小。