.NET内网实战：通过系统白名单文件 Fodhelper.exe 绕过 UAC 实现提权

01阅读须知

此文所节选自小报童《.NET 内网实战攻防》专栏，主要内容有.NET在各个内网渗透阶段与Windows系统交互的方式和技巧。

02基本介绍

本文内容部分节选自小报童《.NET 通过 Fodhelper.exe 绕过 UAC 实现提权》，我们会长期更新！

03原理分析

用户帐户控制是 Windows 系统的一项安全机制，用于防止恶意软件在未经用户许可的情况下执行高权限操作。即使用户使用的是 管理员账户，其默认运行的程序权限仍然受限，只有在 UAC 提示框弹出并 用户手动确认 后，程序才能以 管理员权限 运行。

3.1 Fodhelper

fodhelper.exe 位于 C:\Windows\System32\ 目录下，是 Windows 10/11 中的一个 具备微软签名的白名单二进制文件，常用于 Windows 设置管理，比如 添加功能、管理应用、系统更新。如下图所示

fodhelper.exe 本身不会直接执行命令行参数，它会在启动时尝试从特定的注册表路径读取配置。如果攻击者能够控制该路径的内容，就能劫持其执行流程，使其执行自定义的恶意程序，从而以高权限绕过UAC