面试题——内网相关（一）

---

前言

      自己整理的面试题及答案，本文包括：NTLM本地验证机制，webshell有system权限但无法执行命令怎么办，Windows UAC原理是什么，BypassUAC，RottenPotato（烂土豆MS16-075）提权的原理。

---

一、NTLM本地验证机制

     1）当用户在 Windows 本地登录时，用户的密码存储在本地计算机的 SAM 这个文件里，SAM 文件的路径为 %SystemRoot%\system32\config\SAM（C:\Windows\System32\config）。当用户输入密码进行本地认证的过程中，用户输入的密码将为被转化为 NTLM Hash，然后与SAM中的NTLM Hash进行比较。当用户注销、重启、锁屏后，操作系统会让 winlogon.exe 显示登录界面（输入框）。当 winlogon.exe 接收输入后，会将密码交给lsass进程。lsass.exe 是一个系统进程，用于微软Windows系统的安全机制。它用于本地安全和登陆策略，这个进程中会存一份明文密码，将明文密码加密成 NTLM Hash，对SAM数据库比较认证。

二、webshell有system权限但无法执行命令怎么办

     1）原因可能有以下几点：

• PHP安全模式(disable_functions)
• cmd.exe被降权或删除
• 命令执行组件被卸载
• 组策略禁止执行cmd.exe
  安全狗、云锁、360等安全防护软件等

     2）解决办法：可以尝试使用以下对应操作系统版本的cmd.exe来执行系统命令。