win7锁屏漏洞-(win7关闭漏洞修复)

导航至自动播放，单击CapsLock + Enter，然后选择"打开文件夹以查看文件（文件资源管理器）"。

然后，插入准备好的USB驱动器，等待几秒钟，讲述人将宣布驱动器已打开，并且窗口已聚焦。

选择文件Exploit.exe并使用CapsLock + Enter执行。这样无需使用任何密码，可以实现任意代码执，。但是，受限制为默认配置文件。

安装USB记忆棒后，BitLocker将在"系统卷信息"中创建一个名为ClientRecoveryPasswordRotation的目录，并将权限设置为：

NT AUTHORITY\Authenticated Users:(F)NT AUTHORITY\SYSTEM:(I)(OI)(CI)(F)

要重定向创建操作，需要在NT名称空间中使用符号链接，利用它体育可以控制文件名，并且链接的存在并不会导致报错退出。

使用USB驱动器并以\System Volume Information为\RPC Control挂载点。然后做出一个\RPC Control\ClientRecoveryPasswordRotation符号链接指向\??\C:\windows\system32\Narrator.exe.local。

如果重新插入USB记忆棒，C:\windows\system32\Narrator.exe.local则会创建具有允许创建子目录的权限的文件夹：

amd64_microsoft.windows.common-controls_6595b64144ccf1df_6.0.18362.657_none_e6c5b579130e3898

在该子目录中，删除了一个名为comctl32.dll的有效负载DLL。下次触发讲述人时，它将加载DLL。顺便说一句，选择了讲述人，因为它可以实现从登录屏幕作为系统服务触发，并且不会自动加载，因此，如果出现任何问题，仍然还可以启动。

ClientRecoveryPasswordRotation利用需要的符号链接到\RPC Control。USB驱动器上的可执行文件用两次调用来创建链接DefineDosDevice，从而让该链接成为永久链接，以便它们可以在需要时注销/登录。

然后启动一个循环，其中可执行文件将执行以下操作：

尝试创建子目录。

将有效负载comctl32.dll植入其中。

很容易看到循环何时运行，因为讲述人将移动其焦点框并每秒说一次"访问被拒绝"。现在，可以使用在中创建的链接RPC Control。拔下USB记忆棒，然后重新插入。可写目录将在中创建System32；在下一个循环迭代中，将会植入有效负载，并退出exploit.exe。若要测试漏洞利用程序是否成功，请关闭讲述人，然后尝试重新启动它。

如果讲述人不起作用，那是因为DLL已植入，并且讲述人执行了该DLL，但是由于它以defaultuser1启动，因此无法添加帐户。植入有效负载后，将需要单击返回登录屏幕并启动讲述人。会发出3声哔哔声，并显示一个消息框，说明已加载DLL。帐户已创建，但是并没有显示在列表中。

按"体育我忘记了密码"，然后单击返回以更新列表。

应该会出现一个名为hax的新帐户，密码为hax。

按照以下步骤设置USB记忆棒：

C:\Users\jonas>format D: /fs:ntfs /qInsert new disk for drive D:Press ENTER when ready...-----File System: NTFS.Quick Formatting 30.0 GBVolume label (32 characters, ENTER for none)?Creating file system structures.Format complete.30.0 GB total disk space.30.0 GB are available.

接着，需要将admin提升为delete System Volume Information。

C:\Users\jonas>d:D:\>takeown /F "System Volume Information"

结果:

SUCCESS: The file (or folder): "D:\System Volume Information"

然后

D:\>icacls "System Volume Information" /grant Everyone:(F)Processed file: System Volume InformationSuccessfully processed 1 files; Failed processing 0 filesD:\>rmdir /s /q "System Volume Information"

使用James Forshaw的工具（附带）创建安装点。

D:\>createmountpoint "System Volume Information" "\RPC Control"

然后将附件的exploit.exe复制

D:\>copy c:\Users\jonas\source\repos\exploitKit\x64\Release\exploit.exe .1 file(s) copied.

总结：

爆锁屏绕过和权限提升漏洞CVE-2020-1398，被评定为一个严重漏洞，微软已经提供了了，对应的升级补丁，请使用BitLocker功能的用户及时修补。