[样本分享] 5个不同思路的UAC Bypass (PoC) 样本，欢迎测试

Myrenaser

MD双击，按压缩包从上到下双击，最后一个双击无反应

22222221

Myrenaser 发表于 2026-10-31 20:57
MD双击，按压缩包从上到下双击，最后一个双击无反应

没反应的是sharpelevator吗

Myrenaser

22222221 发表于 2026-10-31 21:16
没反应的是sharpelevator吗

嗯，是的，不知道是不是跑失败了，我用的是Win11 26H2

22222221

Myrenaser 发表于 2026-10-31 21:28
嗯，是的，不知道是不是跑失败了，我用的是Win11 26H2

也许是新系统上这个已经不适用了

22222221

西瓜视频运气 发表于 2026-10-31 20:26
ESSP扫描零蛋
ELG触发四个，检出零蛋

eset这……

心醉咖啡

火绒扫描miss

22222221

心醉咖啡 发表于 2026-11-1 06:48
火绒扫描miss

为何不测一下双击

落霜枫舞

首先，SharpElevator_Cpp 在我这里完全跑不起来，运行了二十多次



接下来 HyperDetect 杀 2，双击 ATC 杀 1



最终 miss：fodhelper_syscall_admin_cmd.exe



BEST 开启 Kernel-API Monitoring 之后，虽然对 R3 下的 inline hook 绕过方法有了一定的抗性，但是只监控 23 个 API，因此 miss 也算是意料之中（而且就算它监控了这些 API 是否能识别 ms-settings 劫持依旧是未知数）

不过，我刚刚是想要检验 BEST 本地实力因此故意关闭了云沙盒。开启云沙盒后：



精确地检出了 UAC Bypass，但是认为完全没有威胁性（给的威胁性评分 = 0）。因此我们并不能肯定本地是否早就看到了行为但认为单纯凭借这个不能被判定成恶意。毕竟我买的 GravityZone 授权没有 EDR，看不出来本地是怎么判定的

22222221

落霜枫舞 发表于 2026-11-1 12:32
首先，SharpElevator_Cpp 在我这里完全跑不起来，运行了二十多次

我在22h2还是能运行的……前面测试HMPA的那位也测了可以运行，难道真是Windows11的问题==============================================================
我帮你虚拟机补测了一下，BD是可以杀掉的，在弹出cmd十几秒后被ATD

22222221

cat-2021 发表于 2026-10-31 17:47
elastic fodhelper无事件，成功创建管理员cmd
SharpEByeIntegrity8levator_Cpp运行5次后全部失败无事件

...

你这个elastic是什么版本的啊，我这边的elastic杀掉了哎