https://jvn.jp/en/vu/JVNVU90673830/
WPS Office 是一款由珠海金山软件开发的跨平台办公套件，支持 Windows、macOS、Linux、iOS、Android 及 HarmonyOS 系统。
WPS 提供的一项便捷功能是云服务，用于保存文档、工作文件等。默认情况下，该服务设为手动启动，仅当你在 WPS Office 面板中导航至 WPS 云时才会启动，但服务以当前用户权限（低权限）运行。
查看 WPS 云服务启动时的早期导入行为，发现它会首先尝试从 *C:\ProgramData\kingsoft\office6* 目录加载一个名为 CRYPTSP.DLL 及其他 DLL 文件。如果这些文件不存在（默认情况下不存在），服务会从 System32 加载，如下图所示：
问题在于该目录的访问控制列表（ACL）被配置为所有用户均可读写。攻击者可以将恶意 DLL 放置在该目录，并重启可执行文件。但如果直接重启，它将以当前权限级别（低权限用户）运行；然而，如果使用 net start wpscloudsvr 命令将其以服务方式启动，则服务会以 NT AUTHORITY 权限启动。
该问题本质上属于 ACL 配置错误。
我的利用方法很简单：将精心构造的 DLL（用于修改管理员密码）复制到目标目录并重启服务。之后即可访问管理员账户，从而获得 sedebugpriv 权限，借此窃取 winlogon 令牌，并启动一个以 NT AUTHORITY / System 权限运行的命令提示符。
