CVE-2026-21508 的概念验证（PoC）

更多信息请参阅： https://0xc4r.github.io/posts/CVE-2026-21508

描述：

该概念验证由一个简单的批处理脚本和一个 DLL 项目组成：

• 该 DLL 将用于执行 DLL 劫持攻击，当被 WUDFHost.exe 加载时，主要执行以下操作：
  1. 执行 RevertToSelf() 以停止模拟并恢复特权状态。
  2. 作为示例执行某些操作。在本例中，我启动了一个提升权限的 cmd.exe 实例（位于 session 0 中），以便通过 Process Explorer（或您喜欢的任何其他工具）检查 cmd.exe 是否由 WUDFHost.exe 启动，从而轻松识别攻击是否成功。
• 批处理文件 SETUP.bat 仅用于将 DLL 复制到正确的文件夹，并创建必要的注册表项，以触发 WUDFHost.exe 加载精心构造的 DLL。
• POC 中还有一个 .jpg 图片，SETUP.bat 会将其复制到您作为第一个参数指定的 USB 闪存盘路径，确保 U 盘上至少有一张 .jpg 图片。

使用方法：

以非特权用户身份执行以下操作：

1. 将 POC 解压到您选择的文件夹中。
2. 以 release 模式构建项目。
3. 确保计算机上已连接 USB 闪存盘。
4. 以 USB 闪存盘路径作为第一个参数启动 SETUP.bat，alps.jpg 将被复制到该路径，例如 SETUP.bat F:\（确保 U 盘上至少有一张 .jpg 图片）。
5. 当 "C:\Program Files (x86)\Windows Media Player\wmplayer.exe" 被启动时，漏洞即被触发。因此，如果尚未配置，请为当前用户配置 Windows Media Player（您可以使用默认推荐设置）。请注意，这不需要管理员权限；只需在 SETUP.bat 启动 "C:\Program Files (x86)\Windows Media Player\wmplayer.exe" 时按照安装程序操作即可。

注意：该概念验证已在 Windows 11 上进行测试和开发。

Microsoft CVE-2026-21508： https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21508