CVE-2021-36934

CVE-2021-36934 HiveNightmare 漏洞检查程序和解决方法

流程

脚本流程如下：

• 需要以管理员权限运行
• 检查受影响的 Windows 10 版本是否存在该漏洞。
  • 如果受漏洞影响：
    • 显示“Windows 版本可能受漏洞影响”的消息
    • 检查 BUILTIN\Users 是否可访问系统 registry hive 文件权限
      • 如果存在漏洞：
        • 应用 Microsoft 提出的解决方法 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36934
        • 检查卷影副本
          • 如果存在：
            • 显示消息：系统上存在有漏洞的卷影副本
            • 删除现有卷影副本并显示消息：卷影副本已删除
            • 创建一个名为“Restorepoint for CVE-2021-36934 HiveNightmare”的新还原点，并显示消息：已创建新还原点
          • 如果不存在：
            • 显示消息：未找到卷影副本
            • 显示消息：系统不受漏洞影响
      • 如果没有漏洞：
        • 显示消息：未找到有漏洞的系统 registry hive 文件
        • 显示消息：系统不受漏洞影响
  • 如果不受漏洞影响：
    • 显示消息：操作系统不受漏洞影响

注意事项

• 运行修复漏洞的脚本后，可再次运行以检查是否已修复。
• 解决方法仅适用于受影响的系统。
• 脚本在任何语言设置下均可正常工作
• 部分 EDR 系统可能将本脚本视为可疑行为并阻止其执行，原因是卷影副本被删除。建议将其添加为例外。

输出

如果存在漏洞且已修复，将得到以下结果：

如果不受漏洞影响，将得到以下结果：