.NET内网实战：通过白名单文件反序列化漏洞绕过UAC

01阅读须知

此文所节选自小报童《.NET 内网实战攻防》专栏，主要内容有.NET在各个内网渗透阶段与Windows系统交互的方式和技巧，对内网和后渗透感兴趣的朋友们可以订阅该电子报刊，解锁更多的报刊内容。

02基本介绍

03原理分析

在渗透测试和红队活动中，权限提升是重要的一环，尤其是在没有管理员权限的情况下执行更高权限的操作。有一种思路利用 Windows 事件查看器 eventvwr.msc 的高权限加载特性和 XAML 反序列化机制，以绕过 UAC 限制。

3.1 Windows事件查看器

在 Windows 系统中，事件查看器Event Viewer是一个非常有用的管理工具，可以帮助系统管理员和安全分析人员查看系统日志、应用程序日志、安全日志等。通常情况位于当前系统用户下的AppData\Local\Microsoft\Event Viewer目录。

在事件查看器启动过程中，Windows 会自动加载 EventViewer.dll，这是事件查看器的核心 .NET 组件之一，提供事件记录的读取、解析和显示功能，如下图所示。