ZONE.CI 全球网

本文介绍利用Windows注册表实现权限维持与提权的方法。提权方面重点讲解AlwaysInstallElevated配置检测与利用，通过构造恶意MSI以SYSTEM权限执行；权限维持方面涵盖自启动项、IFEO劫持及COM劫持技术，并给出具体注册表命令与WIX制作MSI示例。文章实操性强，对红队与渗透测试人员具有较高参考价值。

文章披露Windows系统SystemSettingsAdminFlows.exe在高权限执行cleanmgradminhelper操作时存在DLL劫持漏洞，通过逆向分析发现其通过COM接口{a7246883-0625-4321-94d2-a9b121e7e63a}代理加载settingshandlers\\_storagesense.dll并调用CreateProcessW，普通用户可在环境变量路径放置恶意exe实现权限提升或持久化，建议EDR关注相关进程创建事件与环境变量路径异常文件

文章披露Windows系统SystemSettingsAdminFlows.exe在高权限执行cleanmgradminhelper操作时存在DLL劫持漏洞，通过逆向分析发现其通过COM接口{a7246883-0625-4321-94d2-a9b121e7e63a}代理加载settingshandlers\\_storagesense.dll并调用CreateProcessW，普通用户可在环境变量路径放置恶意exe实现权限提升或持久化，建议EDR关注相关进程创建事件与环境变量路径异常文件

文章披露Windows系统SystemSettingsAdminFlows.exe在高权限执行cleanmgradminhelper操作时存在DLL劫持漏洞，通过逆向分析发现其通过COM接口{a7246883-0625-4321-94d2-a9b121e7e63a}代理加载settingshandlers\\_storagesense.dll并调用CreateProcessW，普通用户可在环境变量路径放置恶意exe实现权限提升或持久化，建议EDR关注相关进程创建事件与环境变量路径异常文件

本文详细介绍了通过将DLL注册为WindowsCredentialProvider实现恶意软件持久化的技术，利用LogonUI.exe以SYSTEM权限加载DLL，实现植入体被删除后从C2服务器自动下载并重新运行。文章提供了完整代码实现，包括注册表操作、DllMain线程创建、持久化检查逻辑及WinHTTP下载功能，并声称实测可绕过Elastic与WindowsDefender检测。该技术属于高级恶意软件持久化手法，具有较高技术深度和完整可操作性。

本文分析Windows漏洞CVE-2026-66804，源于悬空COM对象注册，可被利用实现权限提升。作者展示通过自定义COM封送机制，将恶意DLL加载至特权进程，并给出利用步骤与查找悬空COM对象的方法。建议及时修补漏洞并监控异常COM注册。

CVE-2026-66804是WindowsCOM本地提权漏洞，CVSS7.8，根因是COM注册表InProcServer32指向普通用户可写的ProgramData目录，攻击者可植入恶意DLL被高权限进程加载。利用CustomOBJREF机制绕过缓解措施，通过ShellCreateObjectHandler宿主以SYSTEM权限加载恶意DLL，实现提权。文章提供完整PoC和同类漏洞挖掘思路，技术深度高，可操作性强。

CVE-2026-66804是WindowsCOM本地提权漏洞，CVSS7.8，根因是COM注册表InProcServer32指向普通用户可写的ProgramData目录，攻击者可植入恶意DLL被高权限进程加载。利用CustomOBJREF机制绕过缓解措施，通过ShellCreateObjectHandler宿主以SYSTEM权限加载恶意DLL，实现提权。文章提供完整PoC和同类漏洞挖掘思路，技术深度高，可操作性强。

文章总结： 本文分析Windows权限提升漏洞CVE-2026-66804，源于悬空COM对象注册，可被利用加载恶意DLL实现提权。作者展示了通过自定义COM封

文章总结： 本文分析Windows漏洞CVE-2026-66804，源于悬空COM对象注册，可被利用实现权限提升。作者展示通过自定义COM封送机制，将恶意DLL

文章总结： 本文详细记录利用CMSTPLUACOM对象实现UAC绕过完整流程，从注册表定位目标、OleView验证属性、IDA分析vftable定位ShellE

文章总结： 文档分析了WindowsUBTI架构将计划任务迁移至COM组件后带来的安全风险，攻击者可劫持COMCLSID实现隐蔽持久化与权限提升。文章详细解析了

文章总结： Ferrum是一个基于Go语言开发的Windows安全研究框架，专注于本地权限提升、持久化机制和COM劫持等攻击面枚举。该工具采用模块化架构，通过单

文章总结： 文章披露Windows系统SystemSettingsAdminFlows.exe在高权限执行cleanmgradminhelper操作时存在DLL

文章总结： Cross-SessionActivation（CSA）是一种通过WindowsDCOM进行横向移动的新型攻击技术，利用配置为Interactive

文章总结： Cross-SessionActivation（CSA）是一种通过WindowsDCOM进行横向移动的新型攻击技术，利用配置为Interactive

文章总结： CVE-2026-21509是MicrosoftOfficeOLE安全绕过漏洞，攻击者利用未列入阻止列表的COM对象绕过安全机制。微软通过1月紧急补

文章总结： 文档深入解析COM劫持持久化技术原理，包括CLSID注册表结构、劫持顺序（HKCU优先）及四种劫持类型（现有CLSID、孤儿CLSID、TreatA

文章总结： 文档揭示了攻击者利用Windows语音组件SpeechRuntime进行COM劫持的横向移动技术，通过劫持CLSID{655D9BF9-3876-4

文章总结： 文档深入解析COM劫持持久化技术原理，包括CLSID注册表结构、劫持顺序（HKCU优先）及四种劫持类型（现有CLSID、孤儿CLSID、TreatA

文章总结： 本文分析了一个Hta恶意样本的运行机制，该样本通过CreateObject创建Shell对象获取临时路径，利用Powershell下载恶意文件并执行

文章总结： 本文系统解析COM劫持持久化技术原理，包括CLSID注册表结构、劫持顺序（HKCU优先）及四种劫持类型，并通过实战样本分析展示COMpfun家族木马

文章总结： 本文深度剖析CVE-2026-21509高危漏洞，该漏洞可绕过KillBit机制免宏执行代码，已被APT28利用。文章详述漏洞原理与攻击链，针对MS

文章总结： 本文深度剖析CVE-2026-21509高危漏洞，该漏洞可绕过KillBit机制免宏执行代码，已被APT28利用。文章详述漏洞原理与攻击链，针对MS

文章总结： 本文介绍COM对象劫持技术，主要用于权限维持。其原理在于利用系统组件加载COM对象时的注册表搜索顺序，攻击者可在HKCU下创建恶意CLSID以覆盖系