Microsoft Windows 10中一個(gè)未修補(bǔ)的零日漏洞允許攻擊者使用單行命令破壞NTFS格式的硬盤。攻擊者可以將這條命令可以隱藏在Windows快捷方式文件、ZIP存檔、批處理文件或其他各種矢量中，以觸發(fā)硬盤驅(qū)動(dòng)器錯(cuò)誤，瞬間破壞文件系統(tǒng)索引。

被嚴(yán)重低估的NTFS漏洞

2020年8月和10月，Infosec研究人員Jonas L兩次提醒微軟注意影響Windows 10的一個(gè)尚未修復(fù)的NTFS漏洞。(下圖)

攻擊者只需通過單行命令就可觸發(fā)此漏洞，立即破壞NTFS格式的硬盤，Windows會(huì)提示用戶重新啟動(dòng)計(jì)算機(jī)以修復(fù)損壞的磁盤記錄。重新啟動(dòng)后，Windows檢查磁盤實(shí)用程序?qū)⑦\(yùn)行并開始修復(fù)硬盤驅(qū)動(dòng)器。

研究人員發(fā)現(xiàn)，該漏洞自Windows 10 build 1803(Windows 10 April 2018 Update)開始被引入，并在最新版本中繼續(xù)有效。(編者：1803之前的版本不受此漏洞影響，最新版本修補(bǔ)后癥狀減輕)

更糟糕的是，該漏洞可由Windows 10系統(tǒng)上的標(biāo)準(zhǔn)和低特權(quán)用戶賬戶觸發(fā)。

警告：在運(yùn)行中Windows系統(tǒng)中執(zhí)行以下命令將立刻損壞硬盤驅(qū)動(dòng)器，并可能導(dǎo)致其無法訪問。非安全專業(yè)人士切勿嘗試或作為非法用途，后果自負(fù)。安全專業(yè)人士請(qǐng)?jiān)谔摂M機(jī)中測(cè)試此命令，如果硬盤驅(qū)動(dòng)器損壞，仍可以將其還原到早期快照。

目前尚不清楚為什么訪問此類文件屬性會(huì)損壞硬盤驅(qū)動(dòng)器，Jonas認(rèn)為輔助診斷問題的注冊(cè)表項(xiàng)沒起作用。

Jonas隨后又有了一個(gè)驚人的發(fā)現(xiàn)，可以“零點(diǎn)擊”利用該漏洞。只需制作一個(gè)Windows快捷方式文件將圖標(biāo)指向上述地址，用戶如果瀏覽文件所在文件夾，即使并未點(diǎn)擊打開文件也會(huì)觸發(fā)該漏洞。因?yàn)閃indows資源管理器會(huì)嘗試在后臺(tái)訪問文件內(nèi)部的預(yù)制圖標(biāo)路徑，從而觸發(fā)漏洞利用損壞NTFS硬盤驅(qū)動(dòng)器。

根據(jù)網(wǎng)絡(luò)安全社區(qū)的消息來源，多年前業(yè)界就已知曉此類嚴(yán)重漏洞，并已報(bào)告給Microsoft，但至今仍未修復(fù)。

根據(jù)開發(fā)人員Oliver L的最新反饋，在完全修補(bǔ)的Windows 10 20H2 VM中進(jìn)行的測(cè)試發(fā)現(xiàn)，cmd執(zhí)行漏洞利用命令沒有彈出硬盤故障窗口，唯一的影響是，在下一次手動(dòng)重啟操作系統(tǒng)后，會(huì)觸發(fā)磁盤檢查，但沒有數(shù)據(jù)損壞。

【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】