实现直接提权
比较常用的利用系统程序的方法是利用系统动态加载 DLL的特性，在系统中还有一份名单为 KnownDlls，当一个程序需要动态加载 DLL 的时候，会先在这份名单之中进行查找，如果找到则加载相应路径的DLL 文件，如果没有找到则依照当前目录、 System32 目录的顺序进行查找，因此如果能找到一个程序动态调用的 DLL 文件不在KnownDlls 中，而在 System32 下面，则可以伪造一个相应的 DLL，来实现借助其他程序来执行需要的操作。
在所有白名单程序中，正好有这样一个程序，即 sysprep.exe，它的位置为 System32/sysprep/，而它在启动时，会动态加载一个 CRYPTBASE.DLL，这个 DLL 在 System32 下面，因此 sysprep.exe 会在当前目录寻找的时候加载失败，继而转到 System32 目录查找，试着临时生成一个假的 CRYPTBASE.DLL 放在 sysprep 文件夹下，在 sysprep.exe启动时，将加载假的 CRYPTBASE.DLL，从而执行我们需要的操作。
sysprep.exe 加载假 CRYPTBASE.DLL线程注入白名单中的程序全部都在系统目录当中，因此要把生成的假 DLL 复制到程序目录中， 将会由于权限问题而触发 UAC，这样便失效了。因此，需要特别的方法来把假 DLL 给复制到系统目录内，并且不会触发系统的权限控制。
这一步的操作也需要系统白名单的程序来实现，选用的程序为EXPLORER进程，首先使用远程线程的方法把DLL注入到EXPLORER进程，然后再通过EXPLORER把CRYPTBASE.DLL复制到指定目录UAC不会提示。所有操作完成后启动sysprep.exe我们的DLL就会被加载，从而绕过成功。但这个方法缺点也很明显，在注入EXPLORER进程时，杀毒软件已经开始关注了。
