ZONE.CI 全球网

预取文件可显示Windows系统运行过的应用程序及时间，存储于C:\\\\Windows\\\\Prefetch目录，即使程序被删除仍保留信息。分析工具包括WinPrefetchView、EnCase、FTK、Autopsy等，可提取最后运行时间、运行次数等元数据。建议在取证调查中利用预取文件证明应用程序使用情况，注意嫌疑人可能禁用预取功能。

该文档记录了一次完整的内网渗透实战过程，从利用Webmin1.910弱口令获取初始权限开始，通过Stowaway搭建代理进行内网横向移动。使用fscan扫描发现FineCMSv5.1.0漏洞，通过后台getshell获取第二台主机权限，最终通过Hash传递和Chrome凭据提取等技术成功控制域控服务器。整个过程涉及RCE漏洞利用、代理搭建、内网信息收集、权限维持和横向移动等关键攻击技术。

文档介绍了一种名为PhantomRPC的新型Windows本地权限提升技术，利用RPC运行时未验证服务器合法性的架构缺陷，攻击者可通过伪造RPC服务器并调用RpcImpersonateClient实现SYSTEM权限提升。关键条件是需要SeImpersonatePrivilege权限且合法RPC服务不可用。文章提供了缓解建议：限制非标准进程的SeImpersonatePrivilege权限、启用合法RPC服务占用端点、监控RPC事件检测冒充尝试。

微软在2026年6月补丁日披露了WindowsBitLocker零日漏洞CVE-2026-50507，该漏洞允许攻击者通过物理访问绕过设备加密并访问敏感数据。漏洞影响Windows10至Server2025等多个版本，CVSS评分为6.8。微软已发布安全更新修复，建议管理员优先部署补丁并启用TPM+PIN等多因素认证以增强防护。

雷神众测漏洞周报披露2026年6月22日至28日发现的四个高危漏洞，涉及NVIDIANeMoFramework与微软多款产品，均存在远程代码执行风险。具体包括CVE-2026-24155(NVIDIANeMo<2.7.3输入验证不当)、CVE-2026-45607(Hyper-V多版本受影响)、CVE-2026-44824(Office边界检查不当)及CVE-2026-44817(Excel)，建议用户及时升级至最新版本修复。

安全研究员发布针对CVE-2026-24294的概念验证(PoC)，该漏洞利用WindowsServer2025通过任意TCP端口建立SMB连接的功能，结合本地SMB服务器与强制认证原语实现NTLM反射，最终通过中继特权认证获取系统权限。研究揭示Microsoft对CVE-2025-33073的修复存在局限性，建议防御方及时修补、强制SMB签名、减少NTLM使用并监控非标准端口流量。

研究人员发布CVE-2026-24294漏洞PoC，可劫持WindowsServer2025SYSTEM权限。该漏洞绕过此前对NTLM反射的修复，利用Windows1124H2和Server2025允许任意TCP端口建立SMB连接的特性，通过两阶段攻击实现本地特权提升。防御者需及时安装补丁、强制启用SMB签名并监控非标准端口流量。

WindowsHTTP.sys存在整数溢出漏洞CVE-2026-47291，影响多个Windows版本。攻击者通过构造HTTP/1.xHTTPS请求触发内核堆溢出，可能导致系统崩溃或代码执行。建议立即安装微软官方更新以修复漏洞。

本文介绍了域攻防环境的搭建方法，包括网络拓扑结构（redteam公司域森林、redyuan分公司域树、部门单独域及员工层级）以及主父域控制器的搭建，选用WindowsServer2016作为域控以增强真实性和稳定性。文章强调仅用于信息防御技术研究，并提供了可操作的环境搭建指南。

WindowsNetlogon高危漏洞CVE-2026-41089可被攻击者利用特制CLDAP请求触发缓冲区溢出，实现SYSTEM权限任意代码执行。该漏洞影响Server2012至2025多个版本且POC已公开。建议受影响用户立即参考微软官方指南升级至指定安全版本以规避远程攻击风险。

WindowsHTTP.sys存在高危整数溢出漏洞CVE-2026-47291，攻击者可通过特制TLS请求触发，导致系统蓝屏或远程代码执行，影响多个Windows版本。官方已发布修复，建议立即升级。

微软已修复Windows11及Server2025中代理文件系统驱动的高危漏洞CVE-2026-50458。该漏洞源于并发操作引发的Use-After-Free内存破坏问题，CVSS评分7.8。攻击者需具备本地低权限，可通过特制IOCTL请求绕过沙盒隔离机制，将权限提升至SYSTEM级别，导致系统完全被控。目前尚无在野利用记录。建议安全团队立即核查受影响系统的构建版本号，紧急部署2026年7月累积更新KB5101650；若暂无法补丁，应限制低权限账户本地登录并收紧应用控制策略以降低风险。

本文探讨滥用EntraID中备份的BitLocker恢复密钥作为攻击向量攻陷AzureVM的技术。文章指出非托管磁盘快照若存放于不安全位置，攻击者可获取BitLocker恢复密钥解密磁盘数据，进而窃取凭据并获取在线AzureVM访问权限。文章提供了详细实验演示步骤，包括使用Microburst枚举存储账户、下载VHD快照、挂载解密等操作，并强调了PIM角色激活等关键环节。

启明星辰披露WindowsHTTP.sys高危特权提升漏洞CVE-2026-62735，源于整数溢出导致内核内存破坏，本地低权限攻击者可获SYSTEM权限，PoC已公开。影响多版本Windows及Server。建议立即安装微软安全更新至指定版本，并遵循最小权限、防火墙加固等通用安全实践以降低风险。

本文通报Windows内核驱动mskssrv.sys存在本地提权漏洞CVE-2026-83834，攻击者可利用UAF与TOCTOU竞态实现内核代码执行，影响多个Windows版本，POC已公开，建议用户升级至官方安全版本。

360漏洞研究院披露WindowsShell高危安全功能绕过漏洞CVE-2026-96951，CVSS评分8.8，已遭在野利用。攻击者可通过邮件或即时通信诱导用户打开特制文件，绕过MOTW防护。影响多个Windows版本及Outlook.com，360已成功复现。建议用户尽快安装官方补丁更新系统，并警惕来源不明的文件。

奇安信CERT发布WindowsShell安全功能绕过漏洞CVE-2026-96951通告，该漏洞源于命令注入缺陷，攻击者可投递特制文件绕过MOTW安全警告执行任意命令，CVSS评分8.8，影响千万级，POC和EXP已公开且已在野利用。影响多个Windows版本，奇安信已成功复现，建议用户尽快安装更新或使用天擎等产品防护。

微步情报局披露WindowsShell安全功能绕过漏洞CVE-2026-96951，已遭在野利用。漏洞源于MOTW标记未识别.SettingContent-ms文件为危险类型，用户打开特制文件时无安全警告即可执行任意命令。影响多个Windows版本，已有POC，处置优先级为高风险。建议尽快安装官方补丁，并按扩展名拦截相关附件。

本文披露WindowsShell安全功能绕过漏洞CVE-2026-96951，高危等级。攻击者通过投递特制SettingContent-ms或appcontent-ms文件诱导用户打开，可绕过MOTW安全控制执行任意命令，影响多个Windows版本及Outlook.com。官方已发布修复版本，建议用户立即升级至安全版本。

启明星辰监测到WindowsShell安全功能绕过漏洞CVE-2026-96951，评分8.8高危，可绕过MOTW安全机制，已公开PoC但未发现在野利用。影响多个Windows及Server版本。建议用户及时通过WindowsUpdate安装微软10月13日发布的安全补丁，并加强系统访问控制与权限管理。

该文档为CVE-2026-96951漏洞预警，涉及WindowsShell安全功能绕过漏洞。攻击者利用.SettingContent-ms文件绕过MOTW安全校验，在用户打开恶意文件时直接执行内置恶意命令，实现任意代码执行。影响多个Windows及Server版本。建议用户及时安装微软2026年10月安全更新以修复漏洞。

WindowsShell存在安全功能绕过漏洞（CVE-2026-96951），可通过特制的文件诱导用户打开，绕过安全控制执行任意命令。影响多个Windows版本，已提供自动更新和手动安装补丁的修复建议。

本文详细介绍了WindowsServer2019中配置NIC组合（网卡绑定）的具体步骤与技巧，包括在服务器管理器中创建新组、选择成组模式（交换机独立/静态成组/LACP）和负载平衡模式（动态/地址哈希/Hyper-V端口），并强调物理网卡型号与驱动一致性的前提条件。通过实际演示验证绑定后网速叠加至2.0Gbps且网络连通正常，同时指出需在交换机侧配合配置聚合协议及禁用IPv6以优化性能。

CVE-2026-41089是WindowsNetlogon服务的高危零点击RCE漏洞，攻击者通过发送特制CLDAP查询至UDP389端口可触发栈溢出，以SYSTEM权限接管域控。影响WindowsServer2012至2025多个版本，需立即安装KB5087539补丁；若无法及时修复，应限制网络访问并加强监控。

文档分析CVE-2026-41089Windows域控Netlogon服务栈缓冲区溢出漏洞，CVSS评分9.8，无需认证即可远程代码执行获取SYSTEM权限。详细阐述漏洞技术原理、隔离环境复现步骤，并提供企业补丁修复、资产排查和监控加固等实操建议。