GreatXML BitLocker 绕过漏洞：PoC 利用代码公开披露

sec随谈
sec随谈

sec随谈

2026年6月11日 12:04
北京

在小说阅读器读本章

去阅读

一位安全研究员近期公开发布了一个危险的新漏洞利用代码。具体而言，GreatXML BitLocker 绕过漏洞的详细信息及概念验证代码现已完全公开。这一严重的 Windows Defender 漏洞威胁着大量桌面系统，允许本地攻击者获得对加密驱动器的完全、不受限制的访问权限。

GreatXML 漏洞利用原理

该研究员以 Nightmare Eclipse 为名在网上分享了利用代码，并特别指出：\"这是一次意外发现，从发现到完成总共只花了 4 个小时。\"该漏洞故意操纵 Windows Defender 离线扫描功能，最终授予不受限制的管理员 shell 权限。

执行此攻击时，用户只需复制特定文件，将\"unattend.xml\"和\"Recovery\"目录放入恢复分区，然后直接重启进入 WinRE 环境。若操作成功，\"将会弹出一个对 BitLocker 卷拥有不受限制访问权限的 shell\"。

漏洞利用条件

值得庆幸的是，该攻击需要满足非常特定的条件。若受害者此前启动过 Defender 离线扫描，则该设备自动处于易受攻击状态；此外，攻击者也可在离线扫描状态下引导系统进入 WinRE 来触发漏洞。因此，GreatXML BitLocker 绕过漏洞主要构成本地物理访问层面的重大威胁。

与微软的持续安全争议

此次披露凸显了该研究员与微软之间持续公开的争议。此前，Nightmare Eclipse 已陆续发布了多个 Windows 零日漏洞，包括 RoguePlanet、BlueHammer 和 RedSun 漏洞。微软近期已修复了其中部分严重问题，并在 2026 年 6 月补丁星期二更新中修补了 GreenPlasma 和 YellowKey 漏洞。

然而，微软此前已就这些披露行为发出严厉警告，声称若有人从事\"对客户造成实际危害的恶意活动\"，将诉诸执法部门。对此，众多网络安全专家认为微软是在直接威胁该研究员。

安全专业人员必须保持高度警惕。您可以在 GitHub 上查阅完整的概念验证代码，并在研究员的博客上阅读其完整技术分析。请持续关注微软官方渠道发布的安全补丁动态。

参考链接：

https://www.microsoft.com/en-us/msrc/blog/2026/05/a-shared-responsibility-protecting-customers-through-coordinated-vulnerability-disclosure