1. 项目概述：当“辅助”成为“后门”

在Windows安全研究领域，本地权限提升漏洞（Local Privilege Escalation, LPE）一直是攻防对抗的焦点。这类漏洞的价值在于，攻击者一旦利用成功，就能将手头有限的用户权限（例如一个普通用户账户，甚至是一个受限的Guest账户）瞬间拔高至系统最高权限——通常是SYSTEM或Administrator。最近，一个被命名为“RegPwn”（CVE-2026-24291）的漏洞引起了广泛关注，它巧妙地利用了Windows辅助功能（Accessibility Features）的设计逻辑，构建了一条从低权限到SYSTEM的完整利用链。这个漏洞的独特之处在于，它绕过了传统对可执行文件（exe）的依赖，转而通过注册表（Registry）这一核心配置数据库来“劫持”系统行为，其利用场景之隐蔽、手法之精妙，堪称近年来Windows本地提权漏洞的典范。

对于安全研究人员、渗透测试工程师乃至系统管理员而言，深入理解RegPwn漏洞的原理、利用链和防御措施至关重要。这不仅是一次绝佳的学习机会，能够让我们窥见Windows安全机制的深层逻辑与潜在薄弱点，更能帮助我们加固自身负责的系统，防患于未然。本文将带你从零开始，深度拆解RegPwn漏洞，从漏洞背景、核心原理、环境搭建、完整利用复现，到最终的缓解与防御策略，提供一个可供直接参考和复现的实战指南。

2. 漏洞背景与核心原理深度解析

2.1 Windows辅助功能的“绿色通道”

要理解RegPwn，必须先了解Windows辅助功能（如屏幕键盘、讲述人、放大镜等）的特殊启动机制。为了方便残障人士在紧急情况下（例如无法正常登录）使用电脑，微软设计了一套备用启动接口。其中最著名的就是“粘滞键”的经典利用：在登录界面连续按5次Shift键，系统会调用位于C:\Windows\System32\下的sethc.exe（粘滞键程序）。关键在于，在登录界面或锁屏状态下，这些辅助功能程序是以SYSTEM权限运行的。

传统的利用思路是文件替换：用cmd.exe替换sethc.exe，从而在登录界面获得一个SYSTEM权限的命令行窗口。然而，现代Windows系统（尤其是启用了Windows Defender等安全软件的系统）对System32目录的文件完整性保护非常严格，直接替换系统文件会触发警报甚至被阻止。

2.2 注册表劫持：新的攻击向量

RegPwn漏洞的创新之处在于，它避开了对系统文件的直接操作，转而攻击这些辅助功能程序的启动配置。在Windows中，许多程序的启动行为并非硬编码在二进制文件中，而是通过注册表键值来动态配置的。

以屏幕键盘osk.exe为例。当系统需要启动屏幕键盘时，它并不是直接执行C:\Windows\System32\osk.exe这个文件。实际上，它会先查询一个特定的注册表路径，根据该路径下的配置来决定最终执行哪个程序。这个注册表路径就是攻击的入口点。

漏洞核心原理：攻击者通过篡改当前用户（低权限）可写的特定注册表键，将辅助功能程序的“映像路径”（Image Path）指向一个由攻击者控制的恶意程序。当具备SYSTEM权限的进程（例如Winlogon在锁屏场景下）尝试启动该辅助功能时，便会加载并执行攻击者的恶意程序，从而实现权限提升。

2.3 CVE-2026-24291 (RegPwn) 的技术细节

根据公开的分析，RegPwn漏洞主要涉及以下几个关键的注册表位置，它们控制着不同辅助功能程序的启动：

• HKCU\Software\Microsoft\Windows NT\CurrentVersion\Accessibility\Configuration这个键值下存储了多个辅助功能模块的配置。其中，atbroker.exe（辅助功能管理器代理）的配置是重点。攻击者可以修改ATs子项下的配置，指定一个恶意的“客户端”可执行文件。

• HKCU\Software\Microsoft\Windows NT\CurrentVersion\Accessibility\ATs这里列出了已安装的辅助技术。通过修改特定AT（如Magnifier放大镜）的DLL或Server值，可以指向一个恶意DLL或可执行文件。

• HKCU\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options(IFEO)这是一个经典的调试器劫持位置。虽然不直接属于辅助功能，但常被组合利用。通过为osk.exe、utilman.exe等设置Debugger键值，可以指定一个调试器程序，系统启动原程序时会先启动调试器。如果攻击者将调试器设置为cmd.exe，就能获得一个高权限命令行。

漏洞触发条件：关键在于，这些位于HKCU（当前用户配置单元）下的注册表项，默认情况下是允许标准用户（非管理员）进行写入操作的。系统在加载这些配置时，又未能充分验证其指向的可执行文件路径的合法性和安全性，从而导致了权限提升。

注意：并非所有HKCU下的键值都能被低权限用户修改。Windows有严格的ACL（访问控制列表）。RegPwn的精髓在于找到了那些ACL设置不当、允许低权限写入，却又会被高权限进程加载的“黄金”注册表项。

3. 实验环境搭建与前置知识

在动手复现之前，我们必须搭建一个安全、隔离的实验环境。绝对禁止在生产环境或任何非授权系统上进行测试。

3.1 虚拟机环境准备

1. 虚拟机软件：推荐使用VMware Workstation Pro或VirtualBox。
2. 操作系统镜像：下载一个受影响的Windows版本进行测试。根据漏洞描述，Windows 10 21H2、Windows 11 22H2等版本在未打补丁前都可能受影响。建议从微软官网下载评估版镜像。
3. 网络设置：将虚拟机的网络模式设置为“主机仅模式”或“NAT模式”，并确保虚拟机内部防火墙已关闭，但断开虚拟机的对外网络连接，防止可能的误操作导致风险外溢。
4. 创建快照：在安装好系统后，立即创建一个干净的快照，命名为“Base_Clean”。在每次进行漏洞利用步骤前，再创建一个快照，便于回滚。

3.2 目标系统配置

1. 创建低权限账户：在Windows虚拟机中，除了默认的管理员账户，务必创建一个标准用户账户（例如，用户名为lowpriv，密码简单即可）。我们所有的攻击操作都将在这个低权限账户下进行。
2. 关闭实时防护：为了实验顺利进行，暂时关闭Windows Defender的实时防护和篡改保护。在真实攻击中，攻击者会采用其他手段绕过AV/EDR。
   • 打开“Windows安全中心” -> “病毒和威胁防护” -> “管理设置” -> 关闭“实时保护”。
   • 在“病毒和威胁防护设置”中，找到“篡改防护”并关闭。
3. 准备Payload：我们需要一个简单的恶意程序作为Payload。最直接的就是cmd.exe本身，因为我们的目标是获得一个交互式shell。我们可以复制一份cmd.exe到用户目录备用，但更常见的做法是直接利用系统自带的cmd.exe，通过注册表指向它。

3.3 关键工具与命令

• Regedit：图形化注册表编辑器。对于查看和手动修改非常直观。
• Reg.exe：命令行下的注册表操作工具，便于编写脚本和精确操作。
• Process Explorer或Process Monitor：来自Sysinternals套件的强大工具，用于监控进程启动、注册表访问和文件操作，是分析漏洞触发过程的利器。
• Whoami：命令行工具，用于确认当前进程的权限级别（whoami /priv或whoami /groups）。

4. 完整利用链复现与分析

我们将以劫持“放大镜”（Magnifier）功能为例，展示一条完整的利用链。选择放大镜是因为它在锁屏界面可通过快捷键（Win + ‘+’）触发，且利用链相对清晰。

4.1 信息收集与路径确认

首先，用低权限账户（lowpriv）登录系统。 打开命令提示符（CMD）或PowerShell，确认当前权限：

whoami # 输出应为：DESKTOP-XXXXX\lowpriv

接下来，我们需要找到放大镜相关的注册表配置。使用reg query命令进行探查：

reg query "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Accessibility" /s

这条命令会递归查询Accessibility键下的所有子项和值。在输出中，重点关注ATs子项。我们可以进一步查看：

reg query "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Accessibility\ATs"

你可能会看到类似{D1DCA5F6-0A34-4FB2-8C2D-0C68AD6B0E6B}的GUID子项，这很可能对应放大镜。进入该子项查看：

reg query "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Accessibility\ATs\{GUID}" /v "Server"

关键点来了：检查这个Server键值的类型和当前数据。它可能指向一个exe或dll文件。同时，检查当前用户对这个键值是否有“写入”权限。我们可以用Process Monitor来验证：启动ProcMon，设置过滤器为Process Name包含magnify.exe（放大镜主进程）且Operation为RegSetValue，然后尝试在系统中打开放大镜。观察是否有进程试图写入我们刚才查询的注册表路径。

4.2 实施注册表劫持

假设我们确认了Server键值可写，并且它原本指向C:\Windows\System32\Magnify.exe。现在，我们将其修改为指向cmd.exe。

方法一：使用Reg命令（推荐，便于脚本化）

# 备份原始值（非常重要！） reg export "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Accessibility\ATs\{GUID}" magnify_backup.reg # 修改Server值，指向cmd.exe reg add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Accessibility\ATs\{GUID}" /v "Server" /t REG_SZ /d "C:\Windows\System32\cmd.exe" /f

方法二：使用Regedit图形界面

1. 运行regedit。
2. 导航到上述注册表路径。
3. 找到名为Server的字符串值，双击修改，将数值数据改为C:\Windows\System32\cmd.exe。
4. 点击确定。

实操心得：在修改注册表时，务必先导出备份。复现完成后，可以通过双击备份的.reg文件恢复原状。此外，路径中的{GUID}需要替换为你实际查询到的标识符。不同的Windows版本和配置，这个GUID可能不同。

4.3 触发漏洞与获取SYSTEM Shell

修改注册表后，漏洞利用的“陷阱”已经设好。接下来需要等待或主动创造一个高权限进程加载此配置的场景。

场景一：锁屏触发

1. 按下Win + L锁定计算机。
2. 在锁屏界面，按下放大镜的快捷键（通常是Win + ‘+’）。根据系统设计，锁屏界面为了辅助功能可用，会以SYSTEM权限启动相关组件。
3. 此时，系统读取被篡改的注册表，本应启动Magnify.exe，实际却启动了cmd.exe。
4. 由于触发进程是SYSTEM权限，因此启动的cmd.exe也继承了SYSTEM权限。一个全新的命令提示符窗口将会出现（它可能隐藏在锁屏界面后面，可能需要按Alt+Tab切换）。

场景二：通过其他高权限进程触发有些系统服务或计划任务可能会定期检查或加载辅助功能配置。更主动的方法是，诱使一个已经以SYSTEM或Administrator权限运行的程序去执行涉及辅助功能的操作。这需要更精细的利用代码，但原理相同。

在获取到SYSTEM权限的cmd.exe后，立即验证权限：

whoami # 输出应为：NT AUTHORITY\SYSTEM whoami /priv # 将列出所有高权限令牌，如SeDebugPrivilege, SeTcbPrivilege等。

4.4 利用链的扩展与组合

单纯的启动一个SYSTEM的CMD只是第一步。一个完整的攻击链可能包括：

1. 持久化：将恶意Payload（如后门）的路径写入注册表，实现开机自启或特定事件触发。
2. 绕过UAC：如果当前用户是管理员组成员但非最高权限，可以结合UAC绕过技术，直接获取管理员权限的Shell，再通过此漏洞提升至SYSTEM。
3. 进程注入：获得SYSTEM权限的CMD后，可以将其作为跳板，向其他稳定的系统进程（如lsass.exe,svchost.exe）注入Shellcode，实现更隐蔽的驻留。
4. 横向移动：在域环境中，SYSTEM权限可以转储本地存储的域用户哈希（通过lsass进程），或读取域缓存的凭据，为横向移动创造条件。

5. 漏洞防御、检测与缓解措施

理解攻击是为了更好的防御。针对RegPwn这类注册表劫持提权漏洞，我们可以从多个层面进行防护。

5.1 官方补丁与更新

这是最根本、最有效的解决方案。微软在确认漏洞后会发布安全更新。对于CVE-2026-24291，应确保系统已安装相应的月度安全更新或带外更新。系统管理员应严格执行补丁管理流程，及时测试并部署安全更新。

5.2 系统加固与配置修改

如果暂时无法安装补丁，或需要对未覆盖的系统进行防护，可以采取以下手动加固措施：

1. 收紧注册表权限：修改易受攻击的注册表键的访问控制列表（ACL），移除普通用户的“写入”权限，只保留“读取”权限。

   • 使用regedit，右键点击目标键（如HKCU\Software\Microsoft\Windows NT\CurrentVersion\Accessibility），选择“权限”。
   • 针对Users组或Authenticated Users，将“完全控制”和“写入”权限设置为“拒绝”或仅保留“读取”。
   • 注意：修改HKCU下的权限需谨慎，可能影响辅助功能的正常使用。建议先在测试环境验证。

2. 禁用不必要的辅助功能：在组策略或注册表中，禁用锁屏界面下的辅助功能快捷键。

   • 组策略路径：计算机配置->管理模板->系统->登录->在用户登录时显示以前的自定义辅助功能快捷键，设置为“已禁用”。
   • 这可以防止攻击者在未登录状态下触发漏洞。

3. 启用攻击面减少规则：对于Windows 10/11专业版及以上版本，可以利用Windows Defender攻击面减少（ASR）规则。

   • 启用“阻止从Windows本地安全机构子系统（lsass.exe）窃取凭据”等规则，虽然不直接针对此漏洞，但能增加攻击者利用高权限后的操作难度。
   • 可以尝试创建自定义的基于证书的规则，阻止从非System32目录或用户临时目录启动cmd.exe、powershell.exe等。

5.3 安全监控与检测

防御不应只停留在阻止，还应具备发现的能力。

1. Sysmon监控：部署Sysinternals Sysmon并配置精细的规则。

   • 规则1：监控注册表关键键值的修改。创建规则，记录对HKCU\Software\Microsoft\Windows NT\CurrentVersion\Accessibility\及其子项的SetValue操作。
   • 规则2：监控异常进程创建。创建规则，当父进程为winlogon.exe、LogonUI.exe等系统进程，但子进程是cmd.exe、powershell.exe且映像路径不在System32下时，生成高优先级告警。
   • Sysmon日志应集中收集到SIEM（如Elastic Stack, Splunk）进行分析。

2. EDR/AV行为检测：现代终端检测与响应（EDR）解决方案应能检测此类异常行为。检测点包括：

   • 低权限进程修改受保护的配置路径：用户态进程尝试修改通常由系统进程使用的配置项。
   • 从非常规路径启动系统二进制文件：cmd.exe从AppData、Temp或通过注册表IFEO劫持启动。
   • 权限异常提升：进程令牌从低完整性级别（Medium）瞬间提升到系统级别（System）。

3. 狩猎查询示例（以SIEM中的通用查询语法为例）：

   // 检测可疑的辅助功能注册表修改 event_source:”Sysmon” AND event_id:13 AND target_object:”*Accessibility*ATs*” AND user_name:”*lowpriv*” // 检测锁屏界面产生的非放大镜进程 parent_process:”winlogon.exe” AND process_name:”cmd.exe”

5.4 应急响应与处置

一旦检测到疑似利用RegPwn的攻击行为，应按照以下步骤进行应急响应：

1. 隔离与遏制：立即将受影响的主机从网络中断开，防止横向移动。
2. 调查与取证：
   • 检查上述可疑注册表键值是否被篡改，记录原始值和篡改值。
   • 使用pslist或Get-Process查看所有进程，特别是以SYSTEM权限运行的、父进程异常（如来自winlogon）的cmd或powershell进程。
   • 提取内存和磁盘镜像进行深入分析。
3. 清除与恢复：
   • 终止恶意进程。
   • 使用之前备份的.reg文件或手动将篡改的注册表值恢复原状。
   • 检查计划任务、服务、启动项等是否有新增的持久化后门。
4. 根除与加固：安装官方补丁，并按照5.2节的建议实施系统加固。

RegPwn漏洞再次印证了“攻击面管理”的重要性。操作系统为了提供丰富的功能和用户体验，必然会引入复杂的交互逻辑，这些逻辑点都可能成为攻击者眼中的突破口。从防御者视角，我们需要持续关注这类看似边缘、实则关键的系统机制，通过最小权限原则、行为监控和及时更新，构建纵深防御体系。而对于安全研究者，每一次对这类漏洞的深度剖析，都是对系统内部运行机制的一次宝贵学习，它能让我们在攻防对抗中更加游刃有余。