微軟把安全團(tuán)隊(duì)裁了47%，研究員掀桌公開0day代碼

一個(gè)普通用戶賬戶，5秒內(nèi)拿到Windows最高權(quán)限。這不是電影場景，是昨天GitHub上真實(shí)發(fā)生的「BlueHammer」漏洞演示。安全研究員Chaotic Eclipse把完整攻擊代碼扔到了公開倉庫，而微軟到現(xiàn)在還沒補(bǔ)丁。

「我們被要求拍視頻證明漏洞存在」

Chaotic Eclipse在披露文檔里寫得直白：向微軟安全響應(yīng)中心（MSRC）提交漏洞后，對方要求提供視頻演示作為證據(jù)。這種要求在安全社區(qū)里屬于異類——通常PoC代碼加文字說明足夠，視頻更像是故意設(shè)置的門檻。

Will Dormann確認(rèn)了漏洞有效性。這位資深漏洞研究員指出，微軟自己的流程「直接導(dǎo)致了這次不協(xié)調(diào)披露」。換句話說，一個(gè)本該走正規(guī)渠道修復(fù)的0day，因?yàn)闇贤ㄆ屏炎兂闪斯参淦鳌?/p>

漏洞本身足夠致命。低權(quán)限本地用戶通過BlueHammer可提權(quán)至NT AUTHORITY\SYSTEM——這是Windows系統(tǒng)的終極權(quán)限，比管理員更高。披露截圖顯示，C:\Users\limited\Downloads路徑下的受限賬戶，執(zhí)行后whoami返回nt authority\system。

攻擊附帶的功能更麻煩：NTLM密碼哈希提取、本地賬戶憑證收割、管理員權(quán)限確認(rèn)。受測系統(tǒng)是Windows 11 Build 10.0.26200.8037，屬于現(xiàn)代完全更新的安裝版本。這意味著打滿補(bǔ)丁的機(jī)器照樣中招。

「有經(jīng)驗(yàn)的人被裁了，剩下的人只會(huì)查流程圖」

Chaotic Eclipse把矛頭指向MSRC的人員變動(dòng)。文檔里寫得毒：微軟近年裁掉了有經(jīng)驗(yàn)的安全人員，換成只會(huì)按剛性流程圖辦事的員工。這不是個(gè)別抱怨——過去兩年，多位離開MSRC的工程師在社交媒體上提過類似觀察。

視頻要求可能是壓垮駱駝的最后一根稻草。研究員認(rèn)為這屬于「故意的摩擦點(diǎn)」，最終導(dǎo)致案件被關(guān)閉或無限期擱置。當(dāng)正規(guī)渠道變成死胡同，公開披露成了唯一的施壓手段。

這種「full drop」式披露正在變多。研究者感到報(bào)告被忽視或 mishandle 時(shí)，直接把0day扔給全世界，強(qiáng)迫廠商立即行動(dòng)。代價(jià)是用戶在補(bǔ)丁出爐前完全暴露——這次Windows 11用戶就處于這種狀態(tài)。

Chaotic Eclipse承認(rèn)漏洞并非100%穩(wěn)定，但「足夠好用」。這對勒索軟件團(tuán)伙和APT組織來說根本不是障礙——他們有能力把半成品漏洞打磨成成熟武器。LPE（本地權(quán)限提升）漏洞在攻擊鏈里通常是關(guān)鍵一環(huán)：先通過釣魚或漏洞拿到普通用戶權(quán)限，再用提權(quán)漏洞突破沙箱、繞過防護(hù)。

一個(gè)被反復(fù)驗(yàn)證的惡性循環(huán)

微軟安全響應(yīng)機(jī)制的困境有跡可循。2023年MSRC前負(fù)責(zé)人離職后，團(tuán)隊(duì)經(jīng)歷了多輪重組。外部研究者普遍反映溝通周期拉長、技術(shù)判斷質(zhì)量下滑。以前能和工程師直接討論漏洞細(xì)節(jié)，現(xiàn)在更多是對接流程管理員。

BlueHammer的披露模式似曾相識。2021年Exchange服務(wù)器漏洞、2022年Follina漏洞，都有過研究者因溝通不暢而提前公開的案例。區(qū)別在于這次研究者把內(nèi)部摩擦細(xì)節(jié)也攤了出來——視頻要求、案件關(guān)閉、人員裁撤——讓矛盾更具象。

對企業(yè)IT管理員來說，現(xiàn)狀棘手。沒有補(bǔ)丁，只能依賴緩解措施：限制本地用戶權(quán)限、監(jiān)控異常SYSTEM級進(jìn)程、收緊端點(diǎn)防護(hù)策略。但這些都無法根除風(fēng)險(xiǎn)，只是降低被盯上的概率。

Chaotic Eclipse的GitHub倉庫目前仍可訪問。代碼包含完整的Visual Studio工程文件，編譯后直接可用。這種「開箱即用」的0day在地下市場有價(jià)值，但研究者選擇了免費(fèi)公開——報(bào)復(fù)性披露的意圖明顯。

微軟尚未對披露細(xì)節(jié)作出回應(yīng)。按慣例，MSRC可能會(huì)在未來幾天內(nèi)發(fā)布安全公告，承認(rèn)漏洞并給出臨時(shí)緩解方案。補(bǔ)丁時(shí)間表則取決于漏洞修復(fù)復(fù)雜度，以及——按研究者的暗示——流程圖審批速度。

漏洞披露倫理的爭論還在繼續(xù)。協(xié)調(diào)披露派認(rèn)為公開0day不負(fù)責(zé)任；研究者權(quán)益派則認(rèn)為廠商拖延才是真正的風(fēng)險(xiǎn)。BlueHammer案例的特殊之處在于：它把「廠商流程失效」本身變成了公開證據(jù)的一部分。

Chaotic Eclipse在文檔末尾留了一句：「PoC在這里，漏洞還沒修?！箾]有總結(jié)，沒有建議，只有事實(shí)陳述。這種克制本身也是一種態(tài)度——當(dāng)溝通渠道堵塞，代碼就是最直白的語言。

你的Windows 11設(shè)備今天更新了嗎？如果還沒，現(xiàn)在檢查更新按鈕的樣子，和昨天相比有什么不一樣？