Newshot 研究文章标题：心怀不满的研究人员披露 Windows 0-day，可让黑客获得 System 权限
正文： Nightmare Eclipse 是一名长期公开与 Microsoft 交锋的研究人员的化名，他又披露了一个 Windows 0-day。
周二，Nightmare Eclipse 公开了 SignDrop，这是一个能让本地用户在某些 Windows 版本上获得完整 System 权限的漏洞。该漏洞存在于通用日志文件系统（Common Log File System）中，Microsoft 将其描述为“供运行在用户模式或内核模式下的软件客户端使用的通用日志服务”。通过强制 Windows Defender 等特权进程打开一个精心构造的 CLFS 容器，拥有普通用户权限的攻击者可以滥用特权文件创建，将权限提升至 System。
让 Windows 的防御机制反噬自身
该攻击利用了 CLFS、Windows Defender 和 Windows 文件权限之间的交互。该利用程序通过调用 ServerMpUpdateEngineSignature（Defender 用于处理防病毒签名更新的合法函数），让 Windows Defender 打开一个由标准用户创建的日志文件。
通过操纵 Windows 对象管理器符号链接，攻击者使 Defender 在反恶意软件引擎的安全上下文中打开该 CLFS 容器。如果关联的认证文件缺失，CLFS 会使用 Defender 的 System 权限创建它。由于 CLFS 会将原始文件的自主访问控制列表（Discretionary Access Control List）赋予新创建的文件，攻击者便可能获得对以 System 权限创建的文件的访问权，从而使文件创建操作可被滥用于提权攻击。
讽刺的是，该漏洞源于 Microsoft 在 2025 年 10 月引入的一项安全措施，该措施原本旨在防止攻击者利用 CLFS 中的其他漏洞。
“如果所有环节都正确串联起来，有趣的是，这项合法的安全缓解措施反而可以被用来对付它自己，并实现提权，”Nightmare Eclipse 写道。“Microsoft 在这里做的每件事都是正确的，但其中的逻辑允许被滥用。”
这位研究人员继续表示：
更有趣的是，它可以被用来对付任何反恶意软件引擎，绕过它们的自我防御（或篡改防护）机制，因为你可以在它们自己的反恶意软件进程上下文中触发任意文件创建，因此从它们内核驱动的角度来看，文件创建请求来自它们自己的合法进程，所以能够通过。这使得该漏洞独树一帜，因为它可以被用来关闭任何杀毒软件/EDR。
Nightmare Eclipse 表示，该利用程序在 Windows 11 26H2、Windows 11 26H2 Experimental 和 Windows Server 2025 Experimental 上均有效。人们可以通过检查 CLFS 认证模式来判断自己的系统是否存在漏洞。如果处于 learning mode 或 enforcement mode，系统即存在漏洞，帖子中提供的 PoC 应能弹出一个 SYSTEM shell。近几个月来，Nightmare Eclipse 已公开了众多其他 Windows 0-day。
研究人员 Will Dormann 在接受采访时表示，他已经能够复现该利用程序，且其行为与描述一致，但并非在所有 Windows 11 版本上都有效。不过，他说有一个前提条件。
“这些要求很重要，因为它似乎需要 Windows 26H2，而且似乎需要是一个已存在超过 90 天的系统，”他解释道。“也就是说，你不能随便拿一个新的 26H2 系统，安装更新，然后就能让它生效。”
Dormann 表示，系统要存在漏洞，HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode 的值必须为 0 或 1。在 Dormann 使用的众多机器中，只有一台满足这一要求。
Microsoft 会对 Windows 更新（如 26H2）进行分阶段推送，因此不清楚有多少人已经安装了它。你可以通过运行“winver”命令来检查。Microsoft 代表未回应寻求置评的电子邮件。
像 {{NAME_ab12cd34}} 这样写出的值是真实值的占位符。请在回复和工具调用中完全按照其写法使用它们：它们会在任何内容运行之前被填入真实值。不要要求验证它们，也不要用示例替换它们。