在网络安全的世界里，最讽刺的事情莫过于：用来防御攻击的安全措施，本身变成了攻击的入口。
安全研究员 Abdelhamid Naceri（又名 Nightmare Eclipse）公开了一个名为 SignDrop 的 Windows 零日漏洞利用程序。该漏洞不仅能让攻击者获得 SYSTEM 最高权限，还能绕过任何杀毒软件/EDR 的自防御机制——而这一切，恰恰源于微软在 2025 年 10 月为防御 CLFS 驱动漏洞而引入的“正确缓解措施”。
- 漏洞细节：https://github.com/MSNightmare/SignDrop
据估计，约 80% 的 Windows 安装易受此漏洞影响。更令人担忧的是，目前除了等待微软补丁外，没有任何可行的缓解方案。
1. 漏洞原理：当“正确的逻辑”允许被滥用
SignDrop 的根源在于 通用日志文件系统（CLFS）驱动 处理创建认证文件（.cnpf）的方式。
微软在 2025 年 10 月引入的缓解措施本身实现是正确的：CLFS 在创建新日志文件时会执行访问检查。但问题出在后续逻辑上：
- CLFS 在开始时正确验证了权限
- 但如果另一个特权进程（如 Windows Defender）随后打开了该日志文件
- 认证文件就会以 SYSTEM 权限创建，而 CLFS 仍以原始文件的访问权限处理它
Naceri 指出：“微软在这里做的一切都是正确的，但逻辑允许滥用。”
2. 致命后果：任意杀软/EDR 自防御可被绕过
SignDrop 的独特之处在于，它可以针对任何反恶意软件引擎的篡改保护机制。
攻击者可以迫使 Windows Defender 等特权进程打开特制的日志文件，使文件创建请求看起来来自杀软自身的合法进程。从内核驱动的角度看，这是“自己人”的操作，因此会通过所有安全检查。
这意味着：
- ✅ 攻击者获得 SYSTEM 权限
- ✅ 可在杀软/EDR 进程上下文中触发任意文件创建
- ✅ 关闭或篡改任何安全产品的自防御机制
3. 影响范围与检测方法
受影响系统：
- Windows 11 26H2
- Windows 11 26H2 Experimental
- Windows Server 2025 Experimental
- 估计 80% 的 Windows 安装易受攻击
检测方法：
| 方法 | 操作 | 判定标准 |
|---|---|---|
| PoC 测试 | 运行概念验证利用程序 | 生成 SYSTEM shell = 易受攻击 |
| 注册表检查 | 查看 HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode | 值为 0（学习模式）或 1（强制模式）= 易受攻击 |
4. 当前困境：没有缓解方案，只能等补丁
Naceri 明确表示，目前除了等待微软补丁外没有其他解决方案。
禁用 CLFS 缓解措施虽然可以消除 SignDrop 的攻击面，但会使设备重新暴露于原始的 CLFS 内存损坏漏洞攻击之下——这相当于“拆东墙补西墙”，并非可行之策。
5. 背景：研究员与微软的持续博弈
Naceri 自称是微软前员工，自今年 4 月以来已披露了一长串 Windows 零日漏洞，包括 BigDiskBuster、ShieldCrash、ShieldBreak、LegacyHive、RoguePlanet、BlueHammer、RedSun、YellowKey、GreenPlasma、MiniPlasma 和 UnDefend 等。
其中部分漏洞（ShieldBreak、RoguePlanet、YellowKey、GreenPlasma、MiniPlasma）已被微软修复，但仍有多个零日漏洞缺乏官方补丁。
值得注意的是，Naceri 多次在未先私下报告的情况下公开披露零日漏洞。微软此前曾警告将对“对公司客户造成真实伤害的恶意活动”采取法律行动，这一表态被信息安全社区许多人视为对研究员的直接威胁，也引发了关于漏洞披露伦理的持续争论。
6. 给用户的建议
| 优先级 | 行动项 |
|---|---|
| 🔴 高 | 检查注册表 CLFS Authentication Mode 值，确认是否受影响 |
| 🔴 高 | 关注微软安全更新，补丁发布后第一时间安装 |
| 🟡 中 | 不要禁用 CLFS 缓解措施，避免暴露于更严重的内存损坏漏洞 |
| 🟡 中 | 企业环境加强监控异常 SYSTEM 权限提升行为 |
| 🟢 低 | 关注 Naceri 的后续披露，了解漏洞演进动态 |
总结一下
SignDrop 是一个教科书级的“安全悖论”案例：微软正确地实施了一项缓解措施，但该措施的逻辑设计允许被反向利用，最终成为了比原始漏洞更危险的攻击向量。
它提醒我们：安全不是“打补丁”的终点，而是一个需要持续审视“防御措施本身是否引入新风险”的动态过程。 当 80% 的设备暴露在无解的零日漏洞下时，我们能做的只有保持警惕、及时检测，并耐心等待那个尚未到来的补丁。
最后留个互动： 你对“研究员公开披露未修补零日漏洞”的做法怎么看？是认为这推动了厂商加快修复，还是认为这给用户带来了不必要的风险？欢迎在评论区分享你的观点！
