通过滥用内置的 Windows AutoElevate 后门来绕过 Windows 用户账户控制。该项目演示了多种 UAC 绕过技术，并作为理解 Windows 安全机制的教育资源。
⚠️ 警告: 该工具演示了可能被恶意利用的安全漏洞。请负责任地使用，并仅限在受控环境中使用。
通过命令行使用以下语法运行可执行文件：``` akagi32.exe [Method_Number] [Optional_Command]
或者```
akagi64.exe [Method_Number] [Optional_Command]
akagi32.exe 23 akagi64.exe 61 akagi32.exe 23 c:\windows\system32\calc.exe akagi64.exe 61 c:\windows\system32\charmap.exe
> **注意**：自 3.5.0 版本起，所有此前被“修复”的方法均已视为过时并被移除。如需使用，请参考 [v3.2.x 分支](https://github.com/hfiref0x/UACME/tree/v3.2.x)。
> **注意**：自 3.7.0 版本起，3.5.0 至 3.7.0 之间被“修复”的方法已从 UACMe 方法表中移除。如需使用，请参考 [v3.6.x_plus 分支](https://github.com/hfiref0x/UACME/tree/v3.6.x_plus)。这些方法的代码仍保留在当前分支中，仅供历史参考。
<details>
<summary>键（点击展开/折叠）</summary>1. 作者: Leo Davidson
* 类型: DLL劫持
* 方法: IFileOperation
* 目标: \system32\sysprep\sysprep.exe
* 组件: cryptbase.dll
* 实现: ucmStandardAutoElevation
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 8.1 (9600)
* 修复方式: sysprep.exe 加固 LoadFrom 清单元素
* 代码状态: 自 v3.5.0 移除 :tractor:
2. 作者: Leo Davidson 衍生
* 类型: DLL劫持
* 方法: IFileOperation
* 目标: \system32\sysprep\sysprep.exe
* 组件: ShCore.dll
* 实现: ucmStandardAutoElevation
* 适用版本: Windows 8.1 (9600)
* 修复版本: Windows 10 TP (> 9600)
* 修复方式: ShCore.dll 移至 \KnownDlls 的副作用
* 代码状态: 自 v3.5.0 移除 :tractor:
3. 作者: Leo Davidson 衍生，由 WinNT/Pitou 修改
* 类型: DLL劫持
* 方法: IFileOperation
* 目标: \system32\oobe\setupsqm.exe
* 组件: WdsCore.dll
* 实现: ucmStandardAutoElevation
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 TH2 (10558)
* 修复方式: OOBE 重新设计的副作用
* 代码状态: 自 v3.5.0 移除 :tractor:
4. 作者: Jon Ericson, WinNT/Gootkit, mzH
* 类型: AppCompat
* 方法: RedirectEXE Shim
* 目标: \system32\cliconfg.exe
* 组件: -
* 实现: ucmShimRedirectEXE
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 TP (> 9600)
* 修复方式: Sdbinst.exe 自动提权移除，其余 Windows 版本通过 KB3045645/KB3048097
* 代码状态: 自 v3.5.0 移除 :tractor:
5. 作者: WinNT/Simda
* 类型: 提升COM接口
* 方法: ISecurityEditor
* 目标: HKLM 注册表项
* 组件: -
* 实现: ucmSimdaTurnOffUac
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 TH1 (10147)
* 修复方式: ISecurityEditor 接口方法变更
* 代码状态: 自 v3.5.0 移除 :tractor:
6. 作者: Win32/Carberp
* 类型: DLL劫持
* 方法: WUSA
* 目标: \ehome\mcx2prov.exe, \system32\migwiz\migwiz.exe
* 组件: WdsCore.dll, CryptBase.dll, CryptSP.dll
* 实现: ucmWusaMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 TH1 (10147)
* 修复方式: 移除了 WUSA /extract 选项
* 代码状态: 自 v3.5.0 移除 :tractor:
7. 作者: Win32/Carberp 衍生
* 类型: DLL劫持
* 方法: WUSA
* 目标: \system32\cliconfg.exe
* 组件: ntwdblib.dll
* 实现: ucmWusaMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 TH1 (10147)
* 修复方式: 移除了 WUSA /extract 选项
* 代码状态: 自 v3.5.0 移除 :tractor:
8. 作者: Leo Davidson 衍生，由 Win32/Tilon 修改
* 类型: DLL劫持
* 方法: IFileOperation
* 目标: \system32\sysprep\sysprep.exe
* 组件: Actionqueue.dll
* 实现: ucmStandardAutoElevation
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 8.1 (9600)
* 修复方式: sysprep.exe 加固 LoadFrom 清单
* 代码状态: 自 v3.5.0 移除 :tractor:
9. 作者: Leo Davidson, WinNT/Simda, Win32/Carberp 衍生
* 类型: DLL劫持
* 方法: IFileOperation, ISecurityEditor, WUSA
* 目标: IFEO 注册表项, \system32\cliconfg.exe
* 组件: 攻击者定义的应用程序验证器 DLL
* 实现: ucmAvrfMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 TH1 (10147)
* 修复方式: 移除了 WUSA /extract 选项，ISecurityEditor 接口方法变更
* 代码状态: 自 v3.5.0 移除 :tractor:
10. 作者: WinNT/Pitou, Win32/Carberp 衍生
* 类型: DLL劫持
* 方法: IFileOperation, WUSA
* 目标: \system32\\{新}或{现有}\\{自动提权}.exe，例如 winsat.exe
* 组件: 攻击者定义的 dll，例如 PowProf.dll, DevObj.dll
* 实现: ucmWinSATMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 TH2 (10548)
* 修复方式: AppInfo 提升应用程序路径控制强化
* 代码状态: 自 v3.5.0 移除 :tractor:
11. 作者: Jon Ericson, WinNT/Gootkit, mzH
* 类型: AppCompat
* 方法: Shim 内存补丁
* 目标: \system32\iscsicli.exe
* 组件: 攻击者准备的 shellcode
* 实现: ucmShimPatch
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 8.1 (9600)
* 修复方式: Sdbinst.exe 自动提权移除，其余 Windows 版本通过 KB3045645/KB3048097
* 代码状态: 自 v3.5.0 移除 :tractor:
12. 作者: Leo Davidson 衍生
* 类型: DLL劫持
* 方法: IFileOperation
* 目标: \system32\sysprep\sysprep.exe
* 组件: dbgcore.dll
* 实现: ucmStandardAutoElevation
* 适用版本: Windows 10 TH1 (10240)
* 修复版本: Windows 10 TH2 (10565)
* 修复方式: sysprep.exe 清单已更新
* 代码状态: 自 v3.5.0 移除 :tractor:
13. 作者: Leo Davidson 衍生
* 类型: DLL劫持
* 方法: IFileOperation
* 目标: \system32\mmc.exe EventVwr.msc
* 组件: elsext.dll
* 实现: ucmMMCMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS1 (14316)
* 修复方式: 移除了缺失的依赖项
* 代码状态: 自 v3.5.0 移除 :tractor:
14. 作者: Leo Davidson, WinNT/Sirefef 衍生
* 类型: DLL劫持
* 方法: IFileOperation
* 目标: \system\credwiz.exe, \system32\wbem\oobe.exe
* 组件: netutils.dll
* 实现: ucmSirefefMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 TH2 (10548)
* 修复方式: AppInfo 提升应用程序路径控制强化
* 代码状态: 自 v3.5.0 移除 :tractor:
15. 作者: Leo Davidson, Win32/Addrop, Metasploit 衍生
* 类型: DLL劫持
* 方法: IFileOperation
* 目标: \system32\cliconfg.exe
* 组件: ntwdblib.dll
* 实现: ucmGenericAutoelevation
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS1 (14316)
* 修复方式: Cliconfg.exe 自动提权移除
* 代码状态: 自 v3.5.0 移除 :tractor:
16. 作者: Leo Davidson 衍生
* 类型: DLL劫持
* 方法: IFileOperation
* 目标: \system32\GWX\GWXUXWorker.exe, \system32\inetsrv\inetmgr.exe
* 组件: SLC.dll
* 实现: ucmGWX
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS1 (14316)
* 修复方式: AppInfo 提升应用程序路径控制及 inetmgr 可执行文件加固
* 代码状态: 自 v3.5.0 移除 :tractor:
17. 作者: Leo Davidson 衍生
* 类型: DLL劫持（导入转发）
* 方法: IFileOperation
* 目标: \system32\sysprep\sysprep.exe
* 组件: unbcl.dll
* 实现: ucmStandardAutoElevation2
* 适用版本: Windows 8.1 (9600)
* 修复版本: Windows 10 RS1 (14371)
* 修复方式: sysprep.exe 清单已更新
* 代码状态: 自 v3.5.0 移除 :tractor:
18. 作者: Leo Davidson 衍生
* 类型: DLL劫持（清单）
* 方法: IFileOperation
* 目标: \system32\taskhost.exe, \system32\tzsync.exe（任何不含清单的 ms 可执行文件）
* 组件: 攻击者定义
* 实现: ucmAutoElevateManifest
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS1 (14371)
* 修复方式: 清单解析逻辑已审查
* 代码状态: 自 v3.5.0 移除 :tractor:
19. 作者: Leo Davidson 衍生
* 类型: DLL劫持
* 方法: IFileOperation
* 目标: \system32\inetsrv\inetmgr.exe
* 组件: MsCoree.dll
* 实现: ucmInetMgrMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS1 (14376)
* 修复方式: inetmgr.exe 可执行文件清单加固，MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
* 代码状态: 自 v3.5.0 移除 :tractor:
20. 作者: Leo Davidson 衍生
* 类型: DLL劫持
* 方法: IFileOperation
* 目标: \system32\mmc.exe, Rsop.msc
* 组件: WbemComn.dll
* 实现: ucmMMCMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS3 (16232)
* 修复方式: 目标要求 wbemcomn.dll 必须由 MS 签名
* 代码状态: 自 v3.5.0 移除 :tractor:
21. 作者: Leo Davidson 衍生
* 类型: DLL劫持
* 方法: IFileOperation, SxS DotLocal
* 目标: \system32\sysprep\sysprep.exe
* 组件: comctl32.dll
* 实现: ucmSXSMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS3 (16232)
* 修复方式: MitigationPolicy->ProcessImageLoadPolicy->PreferSystem32Images
* 代码状态: 自 v3.5.0 移除 :tractor:
22. 作者: Leo Davidson 衍生
* 类型: DLL劫持
* 方法: IFileOperation, SxS DotLocal
* 目标: \system32\consent.exe
* 组件: comctl32.dll
* 实现: ucmSXSMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 11 24H2/25H2 (26100/26200)
* 修复方式: 内部 Windows 加载器变更，consent!MitigationPolicy->ProcessSignaturePolicy->MicrosoftSignedOnly
* 代码状态: 自 v3.7.0 移除 :tractor:
23. 作者: Leo Davidson 衍生
* 类型: DLL劫持
* 方法: IFileOperation
* 目标: \system32\pkgmgr.exe
* 组件: DismCore.dll
* 实现: ucmDismMethod
* 适用版本: Windows 7 (7600)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v2.5.1 添加
24. 作者: BreakingMalware
* 类型: Shell API
* 方法: 环境变量扩展
* 目标: \system32\CompMgmtLauncher.exe
* 组件: 攻击者定义
* 实现: ucmCometMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS2 (15031)
* 修复方式: CompMgmtLauncher.exe 自动提权移除
* 代码状态: 自 v3.5.0 移除 :tractor:
25. 作者: Enigma0x3
* 类型: Shell API
* 方法: 注册表项操作
* 目标: \system32\EventVwr.exe, \system32\CompMgmtLauncher.exe
* 组件: 攻击者定义
* 实现: ucmHijackShellCommandMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS2 (15031)
* 修复方式: EventVwr.exe 重新设计，CompMgmtLauncher.exe 自动提权移除
* 代码状态: 自 v3.5.0 移除 :tractor:
26. 作者: Enigma0x3
* 类型: 竞态条件
* 方法: 文件覆盖
* 目标: %temp%\GUID\dismhost.exe
* 组件: LogProvider.dll
* 实现: ucmDiskCleanupRaceCondition
* 适用版本: Windows 10 TH1 (10240)
* 兼容 AlwaysNotify
* 修复版本: Windows 10 RS2 (15031)
* 修复方式: 文件安全权限已更改
* 代码状态: 自 v3.5.0 移除 :tractor:
27. 作者: ExpLife
* 类型: 提升COM接口
* 方法: IARPUninstallStringLauncher
* 目标: 攻击者定义
* 组件: 攻击者定义
* 实现: ucmUninstallLauncherMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS3 (16199)
* 修复方式: 从 COMAutoApprovalList 中移除了 UninstallStringLauncher 接口
* 代码状态: 自 v3.5.0 移除 :tractor:
28. 作者: Exploit/Sandworm
* 类型: 白名单组件
* 方法: InfDefaultInstall
* 目标: 攻击者定义
* 组件: 攻击者定义
* 实现: ucmSandwormMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 8.1 (9600)
* 修复方式: 从 g_lpAutoApproveEXEList 中移除了 InfDefaultInstall.exe (MS14-060)
* 代码状态: 自 v3.5.0 移除 :tractor:
29. 作者: Enigma0x3
* 类型: Shell API
* 方法: 注册表项操作
* 目标: \system32\sdclt.exe
* 组件: 攻击者定义
* 实现: ucmAppPathMethod
* 适用版本: Windows 10 TH1 (10240)
* 修复版本: Windows 10 RS3 (16215)
* 修复方式: Shell API 更新
* 代码状态: 自 v3.5.0 移除 :tractor:
30. 作者: Leo Davidson 衍生, lhc645
* 类型: DLL劫持
* 方法: WOW64 记录器
* 目标: \syswow64\\{任意提权的 exe，例如 wusa.exe}
* 组件: wow64log.dll
* 实现: ucmWow64LoggerMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 11 24H2/25H2 (26100/26200)
* 修复方式: 内部 Windows 加载器变更
* 代码状态: 自 v3.7.0 移除 :tractor:
31. 作者: Enigma0x3
* 类型: Shell API
* 方法: 注册表项操作
* 目标: \system32\sdclt.exe
* 组件: 攻击者定义
* 实现: ucmSdcltIsolatedCommandMethod
* 适用版本: Windows 10 TH1 (10240)
* 修复版本: Windows 10 RS4 (17025)
* 修复方式: Shell API / Windows 组件更新
* 代码状态: 自 v3.5.0 移除 :tractor:
32. 作者: xi-tauw
* 类型: DLL劫持
* 方法: 使用 uiAccess 应用程序绕过 UIPI
* 目标: \Program Files\Windows Media Player\osk.exe, \system32\EventVwr.exe, \system32\mmc.exe
* 组件: duser.dll, osksupport.dll
* 实现: ucmUiAccessMethod
* 适用版本: Windows 7 (7600)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v2.7.1 添加
33. 作者: winscripting.blog
* 类型: Shell API
* 方法: 注册表项操作
* 目标: \system32\fodhelper.exe
* 组件: 攻击者定义
* 实现: ucmShellRegModMethod
* 适用版本: Windows 10 TH1 (10240)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v2.7.2 添加
34. 作者: James Forshaw
* 类型: Shell API
* 方法: 环境变量扩展
* 目标: \system32\svchost.exe 通过 \system32\schtasks.exe
* 组件: 攻击者定义
* 实现: ucmDiskCleanupEnvironmentVariable
* 适用版本: Windows 8.1 (9600)
* 兼容 AlwaysNotify
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v2.7.2 添加
35. 作者: CIA & James Forshaw
* 类型: 模拟
* 方法: 令牌操作
* 目标: 自动提权的应用程序
* 组件: 攻击者定义
* 实现: ucmTokenModification
* 适用版本: Windows 7 (7600)
* 兼容 AlwaysNotify，请参见说明
* 修复版本: Windows 10 RS5 (17686)
* 修复方式: ntoskrnl.exe->SeTokenCanImpersonate 添加了额外的访问令牌检查
* 代码状态: 自 v3.5.0 移除 :tractor:
36. 作者: Thomas Vanhoutte 又名 SandboxEscaper
* 类型: 竞态条件
* 方法: NTFS 重解析点 & DLL劫持
* 目标: wusa.exe, pkgmgr.exe
* 组件: 攻击者定义
* 实现: ucmJunctionMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 11 24H2/25H2 (26100/26200)
* 修复方式: WUSA 变更
* 代码状态: 自 v3.7.0 移除 :tractor:
37. 作者: Ernesto Fernandez, Thomas Vanhoutte
* 类型: DLL劫持
* 方法: SxS DotLocal, NTFS 重解析点
* 目标: \system32\dccw.exe
* 组件: GdiPlus.dll
* 实现: ucmSXSDccwMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 11 24H2/25H2 (26100/26200)
* 修复方式: 内部 Windows 加载器变更，WUSA 变更
* 代码状态: 自 v3.7.0 移除 :tractor:
38. 作者: Clement Rouault
* 类型: 白名单组件
* 方法: APPINFO 命令行欺骗
* 目标: \system32\mmc.exe
* 组件: 攻击者定义
* 实现: ucmHakrilMethod
* 适用版本: Windows 7 (7600)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v2.7.6 添加
39. 作者: Stefan Kanthak
* 类型: DLL劫持
* 方法: .NET 代码探查器
* 目标: \system32\mmc.exe
* 组件: 攻击者定义
* 实现: ucmCorProfilerMethod
* 适用版本: Windows 7 (7600)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v2.7.7 添加
40. 作者: Ruben Boonen
* 类型: COM 处理程序劫持
* 方法: 注册表项操作
* 目标: \system32\mmc.exe, \system32\recdisc.exe
* 组件: 攻击者定义
* 实现: ucmCOMHandlersMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 19H1 (18362)
* 修复方式: Windows 变更的副作用
* 代码状态: 自 v3.5.0 移除 :tractor:
41. 作者: Oddvar Moe
* 类型: 提升COM接口
* 方法: ICMLuaUtil
* 目标: 攻击者定义
* 组件: 攻击者定义
* 实现: ucmCMLuaUtilShellExecMethod
* 适用版本: Windows 7 (7600)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v2.7.9 添加
42. 作者: BreakingMalware 和 Enigma0x3
* 类型: 提升COM接口
* 方法: IFwCplLua
* 目标: 攻击者定义
* 组件: 攻击者定义
* 实现: ucmFwCplLuaMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS4 (17134)
* 修复方式: Shell API 更新
* 代码状态: 自 v3.5.0 移除 :tractor:
43. 作者: Oddvar Moe 衍生
* 类型: 提升COM接口
* 方法: IColorDataProxy, ICMLuaUtil
* 目标: 攻击者定义
* 组件: 攻击者定义
* 实现: ucmDccwCOMMethod
* 适用版本: Windows 7 (7600)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v2.8.3 添加
44. 作者: bytecode77
* 类型: Shell API
* 方法: 环境变量扩展
* 目标: 多个自动提权的进程
* 组件: 根据目标不同
* 实现: ucmVolatileEnvMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS3 (16299)
* 修复方式: 在进程创建过程中忽略了当前用户系统目录变量
* 代码状态: 自 v3.5.0 移除 :tractor:
45. 作者: bytecode77
* 类型: Shell API
* 方法: 注册表项操作
* 目标: \system32\slui.exe
* 组件: 攻击者定义
* 实现: ucmSluiHijackMethod
* 适用版本: Windows 8.1 (9600)
* 修复版本: Windows 10 20H1 (19041)
* 修复方式: Windows 变更的副作用
* 代码状态: 自 v3.5.0 移除 :tractor:
46. 作者: 匿名
* 类型: 竞态条件
* 方法: 注册表项操作
* 目标: \system32\BitlockerWizardElev.exe
* 组件: 攻击者定义
* 实现: ucmBitlockerRCMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS4 (>16299)
* 修复方式: Shell API 更新
* 代码状态: 自 v3.5.0 移除 :tractor:
47. 作者: clavoillotte & 3gstudent
* 类型: COM 处理程序劫持
* 方法: 注册表项操作
* 目标: \system32\mmc.exe
* 组件: 攻击者定义
* 实现: ucmCOMHandlersMethod2
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 19H1 (18362)
* 修复方式: Windows 变更的副作用
* 代码状态: 自 v3.5.0 移除 :tractor:
48. 作者: deroko
* 类型: 提升COM接口
* 方法: ISPPLUAObject
* 目标: 攻击者定义
* 组件: 攻击者定义
* 实现: ucmSPPLUAObjectMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS5 (17763)
* 修复方式: ISPPLUAObject 接口方法已变更
* 代码状态: 自 v3.5.0 移除 :tractor:
49. 作者: RinN
* 类型: 提升COM接口
* 方法: ICreateNewLink
* 目标: \system32\TpmInit.exe
* 组件: WbemComn.dll
* 实现: ucmCreateNewLinkMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS1 (14393)
* 修复方式: consent.exe 引入 COMAutoApprovalList 的副作用
* 代码状态: 自 v3.5.0 移除 :tractor:
50. 作者: 匿名
* 类型: 提升COM接口
* 方法: IDateTimeStateWrite, ISPPLUAObject
* 目标: w32time 服务
* 组件: w32time.dll
* 实现: ucmDateTimeStateWriterMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS5 (17763)
* 修复方式: ISPPLUAObject 接口变更的副作用
* 代码状态: 自 v3.5.0 移除 :tractor:
51. 作者: bytecode77 衍生
* 类型: 提升COM接口
* 方法: IAccessibilityCplAdmin
* 目标: \system32\rstrui.exe
* 组件: 攻击者定义
* 实现: ucmAcCplAdminMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS4 (17134)
* 修复方式: Shell API 更新
* 代码状态: 自 v3.5.0 移除 :tractor:
52. 作者: David Wells
* 类型: 白名单组件
* 方法: AipNormalizePath 解析滥用
* 目标: 攻击者定义
* 组件: 攻击者定义
* 实现: ucmDirectoryMockMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 11 24H2/25H2 (26100/26200)
* 修复方式: appinfo 变更
* 代码状态: 自 v3.7.0 移除 :tractor:
53. 作者: Emeric Nasi
* 类型: Shell API
* 方法: 注册表项操作
* 目标: \system32\sdclt.exe
* 组件: 攻击者定义
* 实现: ucmShellRegModMethod
* 适用版本: Windows 10 (14393)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.1.3 添加
54. 作者: egre55
* 类型: DLL劫持
* 方法: DLL 路径搜索滥用
* 目标: \syswow64\SystemPropertiesAdvanced.exe 和其他 SystemProperties*.exe
* 组件: \AppData\Local\Microsoft\WindowsApps\srrstr.dll
* 实现: ucmEgre55Method
* 适用版本: Windows 10 (14393)
* 修复版本: Windows 10 19H1 (18362)
* 修复方式: SysDm.cpl!_CreateSystemRestorePage 已更新为安全加载库调用
* 代码状态: 自 v3.5.0 移除 :tractor:
55. 作者: James Forshaw
* 类型: GUI 黑客
* 方法: 使用令牌修改绕过 UIPI
* 目标: \system32\osk.exe, \system32\msconfig.exe
* 组件: 攻击者定义
* 实现: ucmTokenModUIAccessMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS5 (17763)，部分补丁，2024 年
* 修复方式: 当 UIAccess 令牌的完整性级别降低时，UIAccess 属性被移除
* 代码状态: 自 v3.7.0 移除 :tractor:
56. 作者: Hashim Jawad
* 类型: Shell API
* 方法: 注册表项操作
* 目标: \system32\WSReset.exe
* 组件: 攻击者定义
* 实现: ucmShellRegModMethod2
* 适用版本: Windows 10 (17134)
* 修复版本: Windows 11 (22000)
* 修复方式: Windows 组件重新设计
* 代码状态: 自 v3.7.0 移除 :tractor:
57. 作者: Leo Davidson 衍生，由 Win32/Gapz 修改
* 类型: DLL劫持
* 方法: IFileOperation
* 目标: \system32\sysprep\sysprep.exe
* 组件: unattend.dll
* 实现: ucmStandardAutoElevation
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 8.1 (9600)
* 修复方式: sysprep.exe 加固 LoadFrom 清单元素
* 代码状态: 自 v3.5.0 移除 :tractor:
58. 作者: RinN
* 类型: 提升COM接口
* 方法: IEditionUpgradeManager
* 目标: \system32\clipup.exe
* 组件: 攻击者定义
* 实现: ucmEditionUpgradeManagerMethod
* 适用版本: Windows 10 (14393)
* 修复版本: Windows 11 24H2/25H2 (26100/26200)
* 修复方式: 忽略当前用户环境变量 %windir%
* 代码状态: 自 v3.7.0 移除 :tractor:
59. 作者: James Forshaw
* 类型: AppInfo ALPC
* 方法: RAiLaunchAdminProcess 和 DebugObject
* 目标: 攻击者定义
* 组件: 攻击者定义
* 实现: ucmDebugObjectMethod
* 适用版本: Windows 7 (7600)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.2.3 添加
60. 作者: Enigma0x3 衍生，由 WinNT/Glupteba 修改
* 类型: Shell API
* 方法: 注册表项操作
* 目标: \system32\CompMgmtLauncher.exe
* 组件: 攻击者定义
* 实现: ucmGluptebaMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS2 (15063)
* 修复方式: CompMgmtLauncher.exe 自动提权移除
* 代码状态: 自 v3.5.0 移除 :tractor:
61. 作者: Enigma0x3/bytecode77 衍生，由 Nassim Asrir 修改
* 类型: Shell API
* 方法: 注册表项操作
* 目标: \system32\slui.exe, \system32\changepk.exe
* 组件: 攻击者定义
* 实现: ucmShellRegModMethod
* 适用版本: Windows 10 (14393)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.2.5 添加
62. 作者: winscripting.blog
* 类型: Shell API
* 方法: 注册表项操作
* 目标: \system32\computerdefaults.exe
* 组件: 攻击者定义
* 实现: ucmShellRegModMethod
* 适用版本: Windows 10 RS4 (17134)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.2.6 添加
63. 作者: Arush Agarampur
* 类型: DLL劫持
* 方法: ISecurityEditor
* 目标: 本机映像缓存元素
* 组件: 攻击者定义
* 实现: ucmNICPoisonMethod
* 适用版本: Windows 7 (7600)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.2.7 添加
64. 作者: Arush Agarampur
* 类型: 提升COM接口
* 方法: IIEAxiAdminInstaller, IIEAxiInstaller2, IFileOperation
* 目标: IE 加载项安装缓存
* 组件: 攻击者定义
* 实现: ucmIeAddOnInstallMethod
* 适用版本: Windows 7 (7600)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.5.1 添加
65. 作者: Arush Agarampur
* 类型: 提升COM接口
* 方法: IWscAdmin
* 目标: Shell 协议劫持
* 组件: 攻击者定义
* 实现: ucmWscActionProtocolMethod
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 11 24H2 (26100)
* 修复方式: Windows 变更的副作用
* 代码状态: 自 v3.7.0 移除 :tractor:
66. 作者: Arush Agarampur
* 类型: 提升COM接口
* 方法: IFwCplLua, Shell 协议劫持
* 目标: Shell 协议注册表项和环境变量
* 组件: 攻击者定义
* 实现: ucmFwCplLuaMethod2
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 11 24H2 (26100)
* 修复方式: Windows 变更的副作用
* 代码状态: 自 v3.7.0 移除 :tractor:
67. 作者: Arush Agarampur
* 类型: Shell API
* 方法: Shell 协议劫持
* 目标: \system32\fodhelper.exe
* 组件: 攻击者定义
* 实现: ucmMsSettingsProtocolMethod
* 适用版本: Windows 10 TH1 (10240)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.5.4 添加
68. 作者: Arush Agarampur
* 类型: Shell API
* 方法: Shell 协议劫持
* 目标: \system32\wsreset.exe
* 组件: 攻击者定义
* 实现: ucmMsStoreProtocolMethod
* 适用版本: Windows 10 RS5 (17763)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.5.5 添加
69. 作者: Arush Agarampur
* 类型: Shell API
* 方法: 环境变量扩展, DLL劫持
* 目标: \system32\taskhostw.exe
* 组件: pcadm.dll
* 实现: ucmPcaMethod
* 适用版本: Windows 7 (7600)
* 兼容 AlwaysNotify
* 修复版本: Windows 11 24H2/25H2 (26100)
* 修复方式: 忽略当前用户环境变量 %windir%
* 代码状态: 自 v3.7.0 移除 :tractor:
70. 作者: V3ded
* 类型: Shell API
* 方法: 注册表项操作
* 目标: \system32\fodhelper.exe, \system32\computerdefaults.exe
* 组件: 攻击者定义
* 实现: ucmShellRegModMethod3
* 适用版本: Windows 10 (10240)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.5.7 添加
71. 作者: Arush Agarampur
* 类型: DLL劫持
* 方法: ISecurityEditor
* 目标: 本机映像缓存元素
* 组件: 攻击者定义
* 实现: ucmNICPoisonMethod2
* 适用版本: Windows 7 RTM (7600)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.5.8 添加
72. 作者: Emeric Nasi
* 类型: DLL劫持
* 方法: DLL 路径搜索滥用
* 目标: \syswow64\msdt.exe, \system32\sdiagnhost.exe
* 组件: BluetoothDiagnosticUtil.dll
* 实现: ucmMsdtMethod
* 适用版本: Windows 10 (10240)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.5.9 添加
73. 作者: orange_8361 和 antonioCoco
* 类型: Shell API
* 方法: .NET 反序列化
* 目标: \system32\mmc.exe EventVwr.msc
* 组件: 攻击者定义
* 实现: ucmDotNetSerialMethod
* 适用版本: Windows 7 RTM (7600)
* 修复版本: Windows 11 24H2/25H2 (26100)
* 修复方式: EventViewer 重新设计
* 代码状态: 自 v3.7.0 移除 :tractor:
74. 作者: zcgonvh
* 类型: 提升COM接口
* 方法: IElevatedFactoryServer
* 目标: 攻击者定义
* 组件: 攻击者定义
* 实现: ucmVFServerTaskSchedMethod
* 适用版本: Windows 8.1 (9600)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.6.1 添加
75. 作者: zcgonvh 衍生，由 Wh04m1001 修改
* 类型: 提升COM接口
* 方法: IDiagnosticProfile
* 目标: 攻击者定义
* 组件: 攻击者定义
* 实现: ucmVFServerDiagProfileMethod
* 适用版本: Windows 7 RTM (7600)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.6.2 添加
76. 作者: HackerHouse
* 类型: DLL劫持
* 方法: DLL 路径搜索滥用, 注册表项操作
* 目标: \syswow64\iscsicpl.exe
* 组件: iscsiexe.dll
* 实现: ucmIscsiCplMethod
* 适用版本: Windows 7 RTM (7600)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.6.3 添加
77. 作者: Arush Agarampur
* 类型: DLL劫持
* 方法: IFileOperation
* 目标: \system32\mmc.exe
* 组件: atl.dll
* 实现: ucmAtlHijackMethod
* 适用版本: Windows 7 RTM (7600)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.6.4 添加
78. 作者: antonioCoco
* 类型: 模拟
* 方法: SSPI 数据报
* 目标: 攻击者定义
* 组件: 攻击者定义
* 实现: ucmSspiDatagramMethod
* 适用版本: Windows 7 RTM (7600)
* 兼容 AlwaysNotify
* 修复版本: Windows 10 (19041)，部分补丁，2024？年
* 修复方式: Windows 变更的副作用
* 代码状态: 自 v3.7.0 移除 :tractor:
79. 作者: James Forshaw 和 Stefan Kanthak
* 类型: GUI 黑客
* 方法: 使用令牌修改绕过 UIPI
* 目标: \system32\osk.exe, \system32\mmc.exe
* 组件: 攻击者定义
* 实现: ucmTokenModUIAccessMethod2
* 适用版本: Windows 7 (7600)
* 修复版本: Windows 10 RS5 (17763)，部分补丁，2024 年
* 修复方式: 当 UIAccess 令牌的完整性级别降低时，UIAccess 属性被移除
* 代码状态: 自 v3.7.0 移除 :tractor:
80. 作者: R41N3RZUF477
* 类型: Shell API
* 方法: 环境变量扩展, DLL劫持
* 目标: \system32\taskhostw.exe
* 组件: PerformanceTraceHandler.dll
* 实现: ucmRequestTraceMethod
* 适用版本: Windows 11 (26100)
* 兼容 AlwaysNotify
* 修复版本: Windows 11 25H2 (26200)
* 修复方式: Windows 变更的副作用
* 代码状态: 自 v3.7.0 移除 :tractor:
81. 作者: R41N3RZUF477
* 类型: Shell API
* 方法: 环境变量扩展, DLL劫持, UIPI 绕过
* 目标: \system32\QuickAssist.exe
* 组件: EmbeddedBrowserWebView.dll
* 实现: ucmQuickAssistMethod
* 适用版本: Windows 10 (19041)
* 兼容 AlwaysNotify
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.6.8 添加
82. 作者: WZ
* 类型: Shell API
* 方法: UICleanmgrAdminHelper, UICleanmgrHelper
* 目标: \system32\SystemSettingsAdminFlows.exe
* 组件: Action.exe
* 实现: ucmCleanMgrAdminMethod
* 适用版本: Windows 10 (19041)
* 修复版本: 未修复 :see_no_evil:
* 修复方式: -
* 代码状态: 在 v3.7.0 添加</details>
**重要提示：**
* 方法 30、63 及更高版本仅在 x64 版本中实现
* 方法 30 需要 x64，因为它利用了 WOW64 子系统特性
* 方法 55 主要是为了教育目的而包含的，可能不可靠
* 方法 78 要求当前用户帐户密码不为空
## 警告
⚠️ **重要的安全和使用信息**：
* 此工具仅演示恶意软件使用的 **公开已知的 UAC 绕过方法**。它以不同方式重新实现了一些技术，以改进原始概念。
* **不适用于防病毒测试**，也不能保证在具有激进安全软件的环境中工作。请自行承担在有活跃防病毒软件的情况下使用的风险。
* 许多防病毒解决方案可能将此工具标记为“HackTool”——由于其功能，这是预期的行为。
* **使用后清理**：如果在生产系统上运行，请确保之后移除所有程序残留。有关放入系统文件夹的文件详情，请参阅源代码。
* 大多数方法最初是为 x64 系统开发的。虽然许多方法可以通过小幅调整在 x86-32 上工作，但此项目不关注 32 位支持。
* 有关 Microsoft 对 UAC 绕过仍然存在的官方解释，请参阅：[Microsoft 对 UAC 的立场](https://devblogs.microsoft.com/oldnewthing/20160816-00/?p=94105)
# Windows 10 支持与测试政策
* UACMe 仅与 LSTB/LTSC 变体（1607/1809）以及当前 RTM-1 版本进行测试
* 例如：如果当前版本是 2004，则会在 2004（19041）和之前的 1909（18363）上进行测试
* 不支持 Insider 构建，因为预览版本中的方法可能会被修复
# 保护措施
针对 UAC 绕过技术最有效的保护是使用没有管理员权限的帐户。
# 构建说明
UACMe 使用 C 语言编写，需要 Microsoft Visual Studio 2019 或更高版本从源代码构建。
### 先决条件
* **IDE**：Microsoft Visual Studio 2019/2022/2026 及更高版本
* **SDK 要求**：
* Windows 8.1 或 Windows 10/11 SDK（已使用 19041/26100 版本测试）
### 构建步骤
1. **配置平台工具集**（项目 -> 属性 -> 常规）：
* 对于 Visual Studio 2022：选择 v143
* 对于 Visual Studio 2026：选择 v145
2. **设置目标平台版本**（项目 -> 属性 -> 常规）：
* 对于 v140：选择 8.1（必须安装 Windows 8.1 SDK）
* 对于 v141 及更高版本：选择 10
3. **构建过程**：
* 编译载荷单元
* 编译 Naka 模块
* 使用 Naka 模块加密所有载荷单元
* 使用 Naka 模块为这些单元生成秘密 blob
* 将编译后的单元和秘密 blob 移动到 Akagi\Bin 目录
* 重新构建 Akagi
> **注意**：不提供且永远不会提供编译后的二进制文件。这是阻止恶意使用的一道屏障，并有助于维护此项目的教育目的。
## 法律免责声明
* 此工具仅供 **教育和研究目的** 使用
* 对于此工具被用于恶意活动，我们不承担任何责任
* 我们与任何将此代码用于商业活动的“安全公司”没有关联
* 此 GitHub 仓库（hfiref0x/UACME）是 UACMe 代码的唯一真实来源
# 支持
如果您觉得这个项目有趣，可以请我喝杯咖啡
BTC（比特币）：bc1qzkvtpa0053cagf35dqmpvv9k8hyrwl7krwdz84q39mcpy68y6tmqsju0g4
# 参考资料
* Windows 7 UAC 白名单，http://www.pretentiousname.com/misc/win7_uac_whitelist2.html
* 恶意应用程序兼容性垫片，https://www.blackhat.com/docs/eu-15/materials/eu-15-Pierce-Defending-Against-Malicious-Application-Compatibility-Shims-wp.pdf
* WinSxS 开发团队博客 Junfeng Zhang，https://blogs.msdn.microsoft.com/junfeng/
* 超越古老的 Run 键，系列文章，http://www.hexacorn.com/blog
* KernelMode.Info UACMe 主题，https://www.kernelmode.info/forum/viewtopicf985.html?f=11&t=3643
* 命令注入/提权 - 环境变量再探，https://breakingmalware.com/vulnerabilities/command-injection-and-elevation-environment-variables-revisited
* 使用 eventvwr.exe 和注册表劫持进行“无文件” UAC 绕过，https://enigma0x3.net/2016/08/15/fileless-uac-bypass-using-eventvwr-exe-and-registry-hijacking/
* 在 Windows 10 上使用磁盘清理绕过 UAC，https://enigma0x3.net/2016/07/22/bypassing-uac-on-windows-10-using-disk-cleanup/
* 使用 IARPUninstallStringLauncher COM 接口绕过 UAC，http://www.freebuf.com/articles/system/116611.html
* 使用 App Paths 绕过 UAC，https://enigma0x3.net/2017/03/14/bypassing-uac-using-app-paths/
* 使用 sdclt.exe 进行“无文件” UAC 绕过，https://enigma0x3.net/2017/03/17/fileless-uac-bypass-using-sdclt-exe/
* UAC 绕过或关于三次提权的故事，https://habrahabr.ru/company/pm/blog/328008/
* 利用计划任务中的环境变量实现 UAC 绕过，https://tyranidslair.blogspot.ru/2017/05/exploiting-environment-variables-in.html
* 第一篇：欢迎与无文件 UAC 绕过，https://winscripting.blog/2017/05/12/first-entry-welcome-and-uac-bypass/
* 分三部分解读 UAC：
1. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-around-uac-part-1.html
2. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-around-uac-part-2.html
3. https://tyranidslair.blogspot.ru/2017/05/reading-your-way-around-uac-part-3.html
* 关于 CMSTP.exe 的研究，https://msitpros.com/?p=3960
* 通过提权的 .NET 应用程序绕过 UAC，https://offsec.provadys.com/UAC-bypass-dotnet.html
* 通过模拟受信任目录绕过 UAC，https://medium.com/tenable-techblog/uac-bypass-by-mocking-trusted-directories-24a96675f6e
* 另一个 sdclt UAC 绕过，http://blog.sevagas.com/?Yet-another-sdclt-UAC-bypass
* 通过 SystemPropertiesAdvanced.exe 和 DLL 劫持绕过 UAC，https://egre55.github.io/system-properties-uac-bypass/
* 访问用于 UIAccess 的访问令牌，https://tyranidslair.blogspot.com/2019/02/accessing-access-tokens-for-uiaccess.html
* Windows Store 二进制文件中的无文件 UAC 绕过，https://www.activecyber.us/1/post/2019/03/windows-uac-bypass.html
* 从 .NET 调用本地 Windows RPC 服务器，https://googleprojectzero.blogspot.com/2019/12/calling-local-windows-rpc-servers-from.html
* Microsoft Windows 10 UAC 绕过本地权限提升漏洞，https://packetstormsecurity.com/files/155927/Microsoft-Windows-10-Local-Privilege-Escalation.html
* UACMe 3.5，WD 与缓解方式，https://swapcontext.blogspot.com/2020/10/uacme-35-wd-and-ways-of-mitigation.html
* 来自 COMAutoApprovalList 的 UAC 绕过，https://swapcontext.blogspot.com/2020/11/uac-bypasses-from-comautoapprovallist.html
* 利用 Programmatic Identifiers (ProgIDs) 实现 UAC 绕过，https://v3ded.github.io/redteam/utilizing-programmatic-identifiers-progids-for-uac-bypasses
* MSDT DLL 劫持 UAC 绕过，https://blog.sevagas.com/?MSDT-DLL-Hijack-UAC-bypass
* 通过 eventvwr.exe 中的 .Net 反序列化漏洞绕过 UAC，https://twitter.com/orange_8361/status/1518970259868626944
* 高级 Windows 任务计划程序手册 - 第 2 部分：从 COM 到 UAC 绕过并直接获得 SYSTEM，http://www.zcgonvh.com/post/Advanced_Windows_Task_Scheduler_Playbook-Part.2_from_COM_to_UAC_bypass_and_get_SYSTEM_dirtectly.html
* 使用 SSPI 数据报上下文绕过 UAC，https://splintercod3.blogspot.com/p/bypassing-uac-with-sspi-datagram.html
* 缓解一些 Windows UAC 利用，https://skanthak.hier-im-netz.de/uacamole.html
* 这里有一个绕过方法，https://mp.weixin.qq.com/s/D_Hchnzlv18naeJrYVJi1A
# 作者
(c) 2014 - 2026 UACMe 项目