---

📋 概述

MiniPlasma 是一款强大的 本地权限提升 利用工具，针对 Windows 云文件微过滤器驱动程序 (cldflt.sys) 中的 CVE-2020-17103。

它允许任何标准用户在完全补丁的 Windows 11、Windows Server 2022 和 Windows Server 2025 系统上（截至 2026 年 6 月）将权限提升至 NT AUTHORITY\SYSTEM。

---

🎯 受影响系统

注意：在最新的 Windows 11 Insider Canary 版本上 无法 工作。

---

🔍 技术细节

• CVE：CVE-2020-17103
• 组件：cldflt.sys（云文件微过滤器驱动程序）
• 漏洞函数：HsmOsBlockPlaceholderAccess
• 利用类型：竞态条件 + Token 操作
• 研究员：Chaotic Eclipse (Nightmare-Eclipse)

工作原理（简化版）

1. 触发占位文件的水化操作（类似 OneDrive 文件）
2. 操纵模拟 Token（有效 ↔ 匿名）
3. 与内核访问检查进行竞态
4. 以 SYSTEM 权限实现任意代码执行

---

⚠️ 影响

• 权限提升：从用户 → SYSTEM
• 无需管理员权限
• 可在标准用户上下文中运行
• 绕过大多数 EDR 的假设
• 在企业环境中极为危险

---

🛠️ 缓解与建议

• 立即应用下一个 Microsoft 补丁星期二更新
• 尽可能禁用云文件/OneDrive 占位文件
• 使用严格的应用控制（WDAC / AppLocker）
• 监控可疑的 cldflt.sys 活动
• 遵循最小权限原则

---

📚 参考资料

• 原始 Project Zero 报告（2020）
• MiniPlasma 公开 PoC 发布（2026 年 5 月）
• Microsoft 安全响应

---