Windows 11 存在一個(gè)嚴(yán)重漏洞，攻擊者可在短短 300 毫秒內(nèi)從低權(quán)限用戶提升至系統(tǒng)管理員權(quán)限。

該漏洞編號(hào)為 CVE-2025-24076，通過(guò)精密的 DLL 劫持技術(shù)利用 Windows 11“移動(dòng)設(shè)備”功能的缺陷。安全研究人員于 2024 年 9 月發(fā)現(xiàn)此漏洞，并于 2025 年 4 月 15 日公開(kāi)披露，其攻擊目標(biāo)是 Windows 11 攝像頭功能加載的 DLL 文件。

研究人員發(fā)現(xiàn)，位于用戶可修改目錄 %PROGRAMDATA%\CrossDevice\ 下的 CrossDevice.Streaming.Source.dll 文件會(huì)先由普通用戶進(jìn)程加載，隨后被高權(quán)限系統(tǒng)進(jìn)程加載。

Compass Security 公司的 John Ostrowski 表示：“這個(gè)漏洞是典型的 DLL 劫持場(chǎng)景，但包含極具挑戰(zhàn)性的時(shí)間控制因素，攻擊窗口期極短——僅有 300 毫秒，但我們開(kāi)發(fā)了可靠的技術(shù)手段實(shí)現(xiàn)穩(wěn)定利用。 ”

Windows 11 權(quán)限提升漏洞技術(shù)細(xì)節(jié)

漏洞利用過(guò)程面臨多項(xiàng)技術(shù)挑戰(zhàn)。研究人員最初使用 PrivescCheck 工具進(jìn)行自動(dòng)化掃描，發(fā)現(xiàn)非特權(quán)用戶對(duì) COM 服務(wù)器模塊文件具有修改權(quán)限：

為克服短暫的時(shí)間窗口，研究人員采用機(jī)會(huì)鎖（Opportunistic Locks）技術(shù)在關(guān)鍵時(shí)刻暫停程序執(zhí)行。通過(guò)微軟 Detours 庫(kù)，他們攔截了專(zhuān)門(mén)針對(duì) GetFileVersionInfoExW 的 Windows API 調(diào)用，以確定可靠替換文件的時(shí)機(jī)。

研究人員創(chuàng)建了惡意 DLL 文件，該文件在保留原有功能的同時(shí)添加了未授權(quán)命令：

當(dāng)高權(quán)限進(jìn)程加載該 DLL 時(shí)，惡意代碼將以 SYSTEM 權(quán)限執(zhí)行。為確保被替換的 DLL 保持原有功能，研究人員實(shí)現(xiàn)了代理機(jī)制，將函數(shù)調(diào)用轉(zhuǎn)發(fā)至原始 DLL：

緩解措施

該漏洞影響啟用了“移動(dòng)設(shè)備”功能的 Windows 11 系統(tǒng)，該功能允許用戶將手機(jī)鏈接為網(wǎng)絡(luò)攝像頭使用。微軟已在 2025 年 3 月的安全更新中發(fā)布補(bǔ)丁。

此發(fā)現(xiàn)凸顯了在特權(quán)進(jìn)程中實(shí)施嚴(yán)格文件訪問(wèn)控制和簽名驗(yàn)證的重要性。即使在沒(méi)有可用補(bǔ)丁的情況下，端點(diǎn)檢測(cè)與響應(yīng)（EDR）解決方案也能通過(guò)行為監(jiān)控檢測(cè)此類(lèi)攻擊。

研究人員建議 ：“雖然保持系統(tǒng)更新至關(guān)重要，但用戶還可采取額外防護(hù)措施，使用 EDR 解決方案可以主動(dòng)檢測(cè)異常行為，識(shí)別可疑活動(dòng)。”

微軟將主系統(tǒng)級(jí)權(quán)限提升漏洞編號(hào)為 CVE-2025-24076，同一功能中的相關(guān)用戶間攻擊向量編號(hào)為 CVE-2025-24994。強(qiáng)烈建議用戶安裝最新的 Windows 安全更新以修復(fù)這些漏洞。

該漏洞利用案例表明，即使是現(xiàn)代操作系統(tǒng)，在新功能實(shí)現(xiàn)中也可能受到長(zhǎng)期存在的攻擊技術(shù)威脅，特別是當(dāng)熟練的攻擊者利用時(shí)間差和競(jìng)爭(zhēng)條件時(shí)。