Breaking Out! of Applications Deployed via Terminal Services, Citrix, and Kiosks

一位渗透测试员实测发现：Claude 会拒绝编写 LSASS 转储工具，而本地运行的 DeepSeek 及去审查版 Qwen 模型可轻松生成可用的 XOR 加密 minidumper，表明借助本地 AI 绕过 EDR 已相当容易。

Windows 终端服务器等多用户系统上可「复活」已终止进程的问题，已报告 Microsoft 并在 MS15-111 修复；文章论证其为何构成可利用的提权漏洞。

介绍用 PowerShell 配合 .NET Reflection API 直接调用 .NET 程序集（exe/dll）内部方法，无需 IDE 建项目再编译；典型场景：配置文件中发现加密的数据库密码后，调用程序集内的解密函数直接还原明文。

只罗列“最常见的漏洞与防御措施”仅完成一半——正如只读飞行手册学不会开飞机。作者强调真正提升安全的是贴近实战的对抗性测试，而非 PCI、HIPAA、SOX 之类的合规检查；完美的练习才能带来完美的防守。

在锁定的 Windows XP 终端上借 HyperTerminal 实现逃逸：新建到 COM1 的连接、开启本地回显后，用 Capture Text 将输入内容写入有写权限的启动文件夹，生成下次登录自动运行的批处理。HyperTerminal 由此加入 kiosk 逃逸工具清单。

配置不当的 SQL Server 链接服务器（Linked Servers）可被攻击者用来在数据库链接网络中穿行、越权读取数据乃至部署 shell。文章介绍通过 sysservers 表、sp_linkedservers 与 SSMS 枚举链接，以及评估链接可达性与权限时的关键设置。