“我似乎被微软给耍了”- 记录一次不太成功的Microsoft Defender AV漏洞挖掘+上报

ANY.LNK

8号的时候看到了https://bbs.kafan.cn/thread-2286700-1-1.html提及的文章，随后在https://teamwin.in/windows-defen ... mbolic-link-attack/找到了原文

文章介绍了一种基于符号链接劫持Defender到不受保护的目录，进而绕过Defender自我保护执行任意操作的方式。

在Windows 11的平台版本4.18.25100.9008 - 4.18.25110.5验证了此漏洞的存在并予以复现

创建符号链接后，重启或更新触发目录切换，即可将Defender的工作目录劫持到我们自己的目录下





此目录在WdFilter等Minifilter的保护之外，因而可以无需任何额外权限进行包括但不限于文件创建/删除/重命名/修改内容等操作。此时删除或修改文件即可引起拒绝服务，破坏Defender的正常功能。

较新版本的Defender对加载的模块执行的代码进行了较为严格的校验，不能直接执行任意代码。而作为PPL进程又额外受到了系统级别的代码完整性校验（这个服务状态指示值同样受Minifilter保护不能直接在系统运行时修改）



因而在MsMpEng.exe，NisSrv.exe的进程上下文执行代码仍然困难（需要在WinRE/PE环境中手动修改服务保护类型，修改后回滚相关文件至旧版本方可执行）



但，MpCmdRun.exe及其附属DLL是完全暴露在修改之下的，且不乏以高权限运行的情况。将目录下的MpCmdRun.exe替换为准备好的旧版本4.10.209（SCEP的最后一个版本），重命名原本的MpClient.dll换上我们自己的劫持DLL。检查更新触发执行，得到SYSTEM权限的shell（此处为cmd.exe）。



15号，我将上述内容作为证据向微软方面报告了此漏洞。16号微软分配了Case Number进入Review/Repro阶段，20号微软回复并关闭了提交。

After review we assessed this report as a duplicate of an existing case and not a security vulnerability. The behavior you described requires administrative privileges to write to the target folder. Since administrative rights already provide full control over the system, the ability to place or modify files in that location does not introduce a new privilege escalation path or security boundary bypass.

最开始的符号链接创建需要管理员权限确实，但除此之外均不需要任何权限。

以及，最主要的一点，虽然微软最终回复如此，但在18号发布的4.18.25110.6小版本更新中悄然修复了这一漏洞，目前已无法在Platform文件夹内创建任何文件夹或符号链接，会直接拒绝访问。更新或重启时先前创建的高版本号符号链接会被忽略，服务路径仍然保持在正确的目录内。



相较于4.18.25110.5整体变化不大，主要的区别在于MpDefenderCoreService.exe中增加了27个函数，多数为其中少数几个的附属函数。



PS：Win10上的Defender在整个测试过程中不受影响，在9月份的首次披露后，已无法在Win10的Platform目录内创建符号链接，相关操作（如mklink等）会被报毒或拒绝访问（调用API），代表微软已经发布过相关的补丁。目前尚不明确是什么原因导致了Win11上补丁的失效，对Defender的文件进行的对比表明在这两套系统上的Defender共享同一套文件。

con16

它們再放大假，前一版沒更新資訊，這小板推送才寫一些說明

驭龙

这算啥，更让人崩溃的是在下一个版本26010，我这就去发帖，我已经心态崩了，从此粉转黑

ANY.LNK

2025.12.21更新，基本可以确定是通过MpDefenderCore.exe暂时修补了漏洞，方法是收紧了对Platform和子文件夹的访问权限，但并未从根本上解决符号链接的识别问题，结合开源工具EDR-Redir可以继续绕过

执行完毕后重启（事实上单独的EDR-Redir足以令MD因找不到文件而崩溃，微软并未修复上游的父目录不受保护仍然会受到绑定链接的影响）


此时Defender的进程会部分恢复，但受到绑定链接的干扰，MpDefenderCore.exe无法启动，此时可继续使用符号链接完成上述操作