[样本分享] 5个不同思路的UAC Bypass (PoC) 样本，欢迎测试

22222221

链接：https://qfile.qq.com/q/J5PJveUwA6
闲了没事，找了一些开源项目，整了五个bypassuac的样本
建议测试环境(因为我只在Windows 10的虚拟机跑过)
版本        Windows 10 专业工作站版
版本号        22H2
安装日期        ‎2026/‎8/‎6
OS 内部版本        19045.6466


建议在虚拟机内测试，虽然只是bypassuac，但是对于系统还是有影响的


样本列表：

1. SharpElevator_Cpp.exe (Method 59)
技术：RPC AppInfo 服务 + Debug 调试对象劫持 + PPID 欺骗。

2. fodhelper_syscall_admin_cmd.exe
技术：FODHelper + 间接系统调用 (Syscall) + 临时键重命名。

3. cmluauil_uac_bypass.exe (Rust)
技术：滥用 COM 接口 (ICMLuaUtil) + PEB 内存伪装。

4. ByeIntegrity8.exe
技术：伪造 windir + 劫持 WDI/PCA 服务加载 pcadm.dll。

5. fodhelper.bat
技术：利用系统 reg.exe 配合 .hwy 和 ms-settings\CurVer 重定向。

PS：

1.运行了fodhelper.bat之后，运行fodhelper_syscall_admin_cmd.exe没反应？
解决方案 ：可能是没清理掉注册表痕迹，看看是否有痕迹残留，有的话就 reg delete "HKCU\Software\Classes\ms-settings" /f 等


2.运行SharpElevator_Cpp.exe提示bypassUAC failed？
解决方案：这个样本貌似有bug，容易bypass失败，成功率低，如果杀软没有提示拦截也没有日志生成却提示bypassUAC failed的话，多运行几次看看，一般运行5~10次

最后，欢迎大家把测试结果贴到楼下

莒县小哥

卡巴扫描

GDExecW

HitmanPro.Alert Miss

22222221

莒县小哥 发表于 2026-10-31 13:23
卡巴扫描

哎 怎么都被 uds 了（话说不测一下行为主动防御吗）

莒县小哥

22222221 发表于 2026-10-31 14:13
哎 怎么都被 uds 了（话说不测一下行为主动防御吗）

木有虚拟机

YYT2013

莒县小哥 发表于 2026-10-31 14:37
木有虚拟机

不用测就知道会被pdm掉

星河大帝

卡巴断网双击2x

cmluauil_uac_bypass.exe (Rust) 缺dll
其余miss

星河大帝

莒县小哥 发表于 2026-10-31 13:23
卡巴扫描

加上双击全杀了

22222221

星河大帝 发表于 2026-10-31 15:10
卡巴断网双击2x

cmluauil_uac_bypass.exe (Rust) 缺dll

那好像是你没C++运行库，不是缺 DLL……

22222221

YYT2013 发表于 2026-10-31 15:07
不用测就知道会被pdm掉

我自己虚拟机测试的时候 卡巴扫描双击只杀了3x，前面那个扫描成绩是后面被 UDS 了，我看一开始扫描都miss了