文章总结： 本文披露了一个存在6年的Windows提权漏洞CVE-2020-17103（代号MiniPlasma），该漏洞通过CloudFiles驱动注册表操作逻辑错误，允许低权限进程滥用符号链接和竞争条件实现SYSTEM权限提权，并可绕过WindowsDefender。文档详细描述了攻击流程包括注册表重定向、CfAbortOperation触发和DLL劫持等步骤，并提供了使用Loader6.3项目绕过AMSI的修补方案。建议通过监测驱动异动或禁用驱动进行临时防护，同时强调仅限于合法授权场景使用。 综合评分： 82 文章分类： 漏洞分析,Windows安全,渗透测试,红队,应急响应

[视频]重磅炸弹，6年前的提权漏洞通杀Windows所有版本

原创

陆安予 陆安予

白帽子安全笔记2.0

2026年5月17日 10:46 江苏

在小说阅读器读本章

去阅读

[视频]重磅炸弹，6年前的提权漏洞通杀Windows所有版本

一、背景

日常研究发现，一个存在了6年的Windows提权漏洞浮出水面[1]，它具备直接提权到nt authority\system的能力。漏洞编号CVE-2020-17103，代号MiniPlasma。

本人经过略改复现，在windows-11-x64-25H2上提权至system权限，可完全绕过Windows Defender。

CVE-2020-17103

[演示]

已关注

关注

重播 分享 赞

关闭

观看更多

更多

退出全屏

切换到竖屏全屏退出全屏

白帽子安全笔记2.0已关注

分享视频

，时长00:48

0/0

00:00/00:48

切换到横屏模式

继续播放

[ ]

进度条，百分之0

播放

00:00

/

00:48

00:48

倍速

全屏

倍速播放中

0.5倍 0.75倍 1.0倍 1.5倍 2.0倍

超清 流畅

继续观看

[视频]重磅炸弹，6年前的提权漏洞通杀Windows所有版本

观看更多

原创

,

[视频]重磅炸弹，6年前的提权漏洞通杀Windows所有版本

白帽子安全笔记2.0已关注

分享点赞在看

已同步到看一看写下你的评论

视频详情

这个漏洞涉及 Cloud Files 微过滤器驱动（cldflt.sys），在处理注册表操作时存在逻辑错误。

攻击流程

1. 1. 注册表符号链接滥用 – 创建符号链接将 BlockedApps 重定向到 Volatile Environment
2. 2. CfAbortOperation 触发 – 调用 CfAbortOperation 触发云文件驱动的注册表操作
3. 3. 竞争条件 – 利用 ForceTokenThread 持续修改线程 token
4. 4. 注册表写入 – 在 Volatile Environment 中写入 windir 键
5. 5. DLL 劫持 – 触发 Windows 错误报告任务以 SYSTEM 权限运行伪造的 wermgr.exe

漏洞本质

云文件微过滤器驱动在进行注册表操作时： 1.没有正确验证注册表路径的安全性 2.允许低权限进程操作其他用户的注册表键 3.可以通过符号链接注入任意注册表路径

二、技术修补

采用Loader6.3项目对C#项目自动化修补，完全绕过AMSI，没有AMSI的Defender形如虚设。

三、修复方案

由于该漏洞[2]已存在多年，目前微软未修补，临时解决可监测该驱动的异动或直接禁用。

四、免责声明

本文涉及方案仅限合法授权的安全研究、渗透测试用途，使用者须确保符合《网络安全法》及相关法规。具体条款如下：

• • 仅可用于已获得书面授权的目标系统测试；
• • 遵守法律法规，不得用于侵犯他人隐私或数据窃取；

本人不承担因用户滥用本软件导致的任何后果。使用即视为同意并接受上述条款。

引用链接

[1] : https://github.com/Nightmare-Eclipse/MiniPlasma [2] 漏洞: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2020-17103

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：白帽子安全笔记2.0 陆安予 陆安予《[视频]重磅炸弹，6年前的提权漏洞通杀Windows所有版本》