Agent Skills
返回列表
🔒

Windows 安全边界枚举

IT 运维与安全 更新于 2026.08.30

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md 的官方安装指南，在您的 AI 助手中安装 @user_3c6cb52e/windows-boundaries-lr-wu1a 技能。

技能介绍

先明确问题

Windows 的防护不是单一开关，而是由内核/用户边界、沙盒边界（LPAC、AppContainer）、COM/RPC 边界、hypervisor 边界和信任级别转换叠起来的。渗透测试或红队评估时，如果只看权限位，很容易忽略令牌、完整性级别、作业对象、Capability、RPC 接口暴露和虚拟化隔离之间的差异，导致权限提升路径判断偏乐观，或把 sandbox escape 想得太简单。

技能如何工作

该技能把 Windows 安全边界整理成可执行的枚举清单。激活后，它会要求把上文分类作为操作 checklist，按顺序检查目标上下文中的边界：先识别进程与令牌的 trust level，再确认是否处于 AppContainer/LPAC 限制，接着看跨进程交互是走 COM 还是 RPC，最后判断是否可能触达 hypervisor/Hyper-V 边界。每一步都要求判断当前 target 是否适用、记录已完成项，并基于发现给出下一步建议。

适用边界与注意点

它适合规划 privilege escalation paths、sandbox escapes，或审计 Windows 安全架构理解。它不是漏洞扫描器，也不会替代补丁核对、ACL 审计和实际 PoC；COM/RPC 接口暴露、令牌特权和完整性级别仍需结合实际进程与系统版本验证。

使用场景

  • 在红队评估 Windows 主机时，梳理进程令牌与完整性级别差异，规划从低权限用户态到管理员权限的提权路径。
  • 审计沙盒化应用时，排查 AppContainer 与 LPAC 限制是否可被绕过，制定具体的沙盒逃逸测试方案。
  • 分析跨进程通信组件时，枚举目标暴露的 COM 与 RPC 接口，寻找可利用的边界缺陷以实现权限提升。
  • 研究虚拟化安全时，检查客户机与宿主机之间的 Hyper-V 边界，评估虚拟机逃逸的潜在风险与信任级别转换。

适合人员

  • 渗透测试工程师：需要梳理 Windows 主机的内核与用户态边界，制定精确的权限提升与横向移动攻击路径。
  • 红队安全研究员：负责评估沙盒隔离机制，寻找 AppContainer 或 LPAC 环境下可利用的逃逸漏洞。
  • 系统架构安全审计员：关注跨进程通信边界，检查 COM 与 RPC 接口暴露情况以修复潜在的权限提升缺陷。
  • 虚拟化安全工程师：研究 Hyper-V 等虚拟化边界，评估虚拟机与宿主机之间的信任级别转换与逃逸风险。