WPAD LPAC / WHESVC 权限提升

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-85884

本仓库包含针对 Windows 权限边界问题的研究与概念验证材料，该问题涉及 Windows 健康与优化体验服务（whesvc）以及 Windows 诊断 Lua 引擎。

拥有相关诊断能力的代码可以发出一个受信任的 ETW 工作流事件，其中包含由攻击者控制的 Lua 模块路径。LocalSystem 服务会消费该事件，并通过 WinDiag 执行该模块，但未充分验证事件生产者，也未将模块限制在受信任位置。

完整的已演示提权路径为：

低权限或 WPAD LPAC 代码
  -> Microsoft.Windows.Diagnostics.Lua ETW 事件
  -> LocalSystem whesvc 工作流
  -> 攻击者控制的 Lua 模块
  -> SYSTEM 进程金丝雀

状态

该问题已在随附报告中记录的精确 Windows 11 x64 版本上复现，包括版本 26200.8457 和 29617.1000。

最小演示

Invoke-WhesvcToSystem.ps1 是最简单的本地用户演示。它不需要 DLL、编译器或外部载荷，也不嵌入或下载任何内容。特权 Lua 回调通过 cmd.exe 运行系统内置的 whoami.exe /user 命令，并将其输出重定向到金丝雀文件。

在标准的非管理员 PowerShell 会话中：

powershell.exe -NoProfile -ExecutionPolicy Bypass `
  -File .\Invoke-WhesvcToSystem.ps1

成功运行会生成包含以下内容的 whoami.exe /user 输出：

nt authority\system S-1-5-18

金丝雀文件写入到：

%LOCALAPPDATA%\WhesvcL2S\system-canary.txt

该工作流具有最小跟踪间隔，因此演示通常至少需要 35 秒。

使用以下命令删除金丝雀文件及任何匹配的临时 Lua 模块：

powershell.exe -NoProfile -ExecutionPolicy Bypass `
  -File .\Invoke-WhesvcToSystem.ps1 -Cleanup

负责任使用

本材料仅供防御性研究、补丁验证和经授权的安全测试使用。用户有责任遵守适用法律，并避免对生产系统造成干扰。