Windows 11 存在一個嚴重漏洞，攻擊者可在短短 300 毫秒內(nèi)從低權(quán)限用戶提升至系統(tǒng)管理員權(quán)限。

該漏洞編號為 CVE-2025-24076，通過精密的 DLL 劫持技術(shù)利用 Windows 11“移動設(shè)備”功能的缺陷。安全研究人員于 2024 年 9 月發(fā)現(xiàn)此漏洞，并于 2025 年 4 月 15 日公開披露，其攻擊目標是 Windows 11 攝像頭功能加載的 DLL 文件。

研究人員發(fā)現(xiàn)，位于用戶可修改目錄 %PROGRAMDATA%\CrossDevice\ 下的 CrossDevice.Streaming.Source.dll 文件會先由普通用戶進程加載，隨后被高權(quán)限系統(tǒng)進程加載。

Compass Security 公司的 John Ostrowski 表示：“這個漏洞是典型的 DLL 劫持場景，但包含極具挑戰(zhàn)性的時間控制因素，攻擊窗口期極短——僅有 300 毫秒，但我們開發(fā)了可靠的技術(shù)手段實現(xiàn)穩(wěn)定利用。 ”

Windows 11 權(quán)限提升漏洞技術(shù)細節(jié)

漏洞利用過程面臨多項技術(shù)挑戰(zhàn)。研究人員最初使用 PrivescCheck 工具進行自動化掃描，發(fā)現(xiàn)非特權(quán)用戶對 COM 服務(wù)器模塊文件具有修改權(quán)限：

為克服短暫的時間窗口，研究人員采用機會鎖（Opportunistic Locks）技術(shù)在關(guān)鍵時刻暫停程序執(zhí)行。通過微軟 Detours 庫，他們攔截了專門針對 GetFileVersionInfoExW 的 Windows API 調(diào)用，以確定可靠替換文件的時機。

研究人員創(chuàng)建了惡意 DLL 文件，該文件在保留原有功能的同時添加了未授權(quán)命令：

當高權(quán)限進程加載該 DLL 時，惡意代碼將以 SYSTEM 權(quán)限執(zhí)行。為確保被替換的 DLL 保持原有功能，研究人員實現(xiàn)了代理機制，將函數(shù)調(diào)用轉(zhuǎn)發(fā)至原始 DLL：

緩解措施

該漏洞影響啟用了“移動設(shè)備”功能的 Windows 11 系統(tǒng)，該功能允許用戶將手機鏈接為網(wǎng)絡(luò)攝像頭使用。微軟已在 2025 年 3 月的安全更新中發(fā)布補丁。

此發(fā)現(xiàn)凸顯了在特權(quán)進程中實施嚴格文件訪問控制和簽名驗證的重要性。即使在沒有可用補丁的情況下，端點檢測與響應(yīng)（EDR）解決方案也能通過行為監(jiān)控檢測此類攻擊。

研究人員建議 ：“雖然保持系統(tǒng)更新至關(guān)重要，但用戶還可采取額外防護措施，使用 EDR 解決方案可以主動檢測異常行為，識別可疑活動?！?/p>

微軟將主系統(tǒng)級權(quán)限提升漏洞編號為 CVE-2025-24076，同一功能中的相關(guān)用戶間攻擊向量編號為 CVE-2025-24994。強烈建議用戶安裝最新的 Windows 安全更新以修復這些漏洞。

該漏洞利用案例表明，即使是現(xiàn)代操作系統(tǒng)，在新功能實現(xiàn)中也可能受到長期存在的攻擊技術(shù)威脅，特別是當熟練的攻擊者利用時間差和競爭條件時。