windows本地提权工具被拦截主因是安全机制主动干预，需依次排查uac、applocker、smartscreen、组策略、注册表及服务权限配置。
windows 本地用户权限提升工具（如 msiexec、certutil、powershell 脚本、自定义提权二进制等）被拦截，通常不是“工具本身出错”，而是系统安全机制主动干预的结果。排查重点不在工具能否运行，而在于识别是哪个防护层在起作用——可能是 uac、applocker、windows defender smartscreen、组策略限制，或是服务/注册表级的权限控制。
确认是否触发 UAC 提权弹窗或静默拒绝
很多提权操作依赖提升进程权限，UAC 是第一道关卡：
- 若执行命令后弹出蓝色 UAC 窗口，说明未被完全拦截，只是等待管理员确认；可尝试右键以“管理员身份运行”终端再执行
- 若无任何提示、命令直接退出或返回错误码（如
0x80070005），很可能是 UAC 设置为“从不通知”+ 策略禁止自动提升，此时需检查：
gpedit.msc → 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 安全选项 → 用户账户控制：用于内置管理员账户的管理员批准模式 是否启用 - 也可用命令快速验证：
reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA
返回值为0x1表示 UAC 开启；若为0x0，则整个提权路径被底层禁用
检查 Windows Defender 应用控制与 SmartScreen 拦截
Win10/Win11 默认启用基于信誉和签名的运行时防护：
Text To Image
下载
一款AI图像与设计工具，主要用于将文本渲染为图片并返回临时本地文件路径，支持可选的 data URI。适用于 Clawhub 或 Codex，用于将纯文本或带样式的文本进行转换，适合需要提升相关任务效率的用户。
- 运行提权工具前，先查看事件查看器：
Windows 日志 → 应用程序 或 安全 中是否有Event ID 1116（AppLocker 阻止）、Event ID 1006（SmartScreen 阻止） - 若弹窗提示“为了对你进行保护，已经阻止此应用”，点击“更多信息”→“仍要运行”可临时绕过；长期方案是：
进入 Windows 安全中心 → 应用和浏览器控制 → 基于声誉的保护，临时关闭“利用保护”或“SmartScreen”测试 - 对 PowerShell 脚本类提权，还需检查执行策略：
Get-ExecutionPolicy -Scope CurrentUser和MachinePolicy，若为Restricted或AllSigned且脚本无有效签名，将直接拒绝加载
核查组策略与本地安全策略限制
企业环境或强化配置下，策略可能显式禁止低权限用户执行敏感操作：
- 运行
gpresult /h report.html生成策略报告，重点关注：
计算机配置 → Windows 设置 → 安全设置 → 软件限制策略 / 应用控制策略
尤其检查是否存在针对msiexec.exe、cmd.exe、powershell.exe的哈希规则或路径规则 - 检查关键注册表项是否被锁定：
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer下的AlwaysInstallElevated若为1，说明该策略启用，但若被策略禁止，则该项可能被设为0或被删除 - 服务类提权常依赖对
C:\Windows\System32或服务二进制所在目录的写权限，用icacls "C:\path\to\binary.exe"查看实际 ACL，确认当前用户是否有W（写入）权限
验证目标服务或组件是否处于可利用状态
权限提升常依赖特定服务配置缺陷，而非通用拦截：
- 使用微软官方工具
accesschk.exe快速扫描服务权限：accesschk64.exe -uwcqv "Everyone" * /accepteula
查找标有RW（读写）且服务 BinaryPathName 包含空格未加引号的服务 - 检查计划任务目录权限：
icacls "C:\Windows\System32\Tasks"和"C:\Windows\Tasks"，若当前用户有写权限，可能被用于任务劫持提权 - 运行
sc qc [servicename]查看服务配置，确认OBJECT_NAME对应的可执行文件路径是否可写、是否包含空格、是否被双引号包裹
