Microsoft Windows 10中一个未修补的零日漏洞允许攻击者使用单行命令破坏NTFS格式的硬盘。攻击者可以将这条命令可以隐藏在Windows快捷方式文件、ZIP存档、批处理文件或其他各种矢量中，以触发硬盘驱动器错误，瞬间破坏文件系统索引。

被严重低估的NTFS漏洞

2020年8月和10月，Infosec研究人员Jonas L两次提醒微软注意影响Windows 10的一个尚未修复的NTFS漏洞。(下图)

攻击者只需通过单行命令就可触发此漏洞，立即破坏NTFS格式的硬盘，Windows会提示用户重新启动计算机以修复损坏的磁盘记录。重新启动后，Windows检查磁盘实用程序将运行并开始修复硬盘驱动器。

研究人员发现，该漏洞自Windows 10 build 1803(Windows 10 April 2018 Update)开始被引入，并在最新版本中继续有效。(编者：1803之前的版本不受此漏洞影响，最新版本修补后症状减轻)

更糟糕的是，该漏洞可由Windows 10系统上的标准和低特权用户账户触发。

警告：在运行中Windows系统中执行以下命令将立刻损坏硬盘驱动器，并可能导致其无法访问。非安全专业人士切勿尝试或作为非法用途，后果自负。安全专业人士请在虚拟机中测试此命令，如果硬盘驱动器损坏，仍可以将其还原到早期快照。

目前尚不清楚为什么访问此类文件属性会损坏硬盘驱动器，Jonas认为辅助诊断问题的注册表项没起作用。

Jonas随后又有了一个惊人的发现，可以“零点击”利用该漏洞。只需制作一个Windows快捷方式文件将图标指向上述地址，用户如果浏览文件所在文件夹，即使并未点击打开文件也会触发该漏洞。因为Windows资源管理器会尝试在后台访问文件内部的预制图标路径，从而触发漏洞利用损坏NTFS硬盘驱动器。

根据网络安全社区的消息来源，多年前业界就已知晓此类严重漏洞，并已报告给Microsoft，但至今仍未修复。

根据开发人员Oliver L的最新反馈，在完全修补的Windows 10 20H2 VM中进行的测试发现，cmd执行漏洞利用命令没有弹出硬盘故障窗口，唯一的影响是，在下一次手动重启操作系统后，会触发磁盘检查，但没有数据损坏。

【本文是51CTO专栏作者“安全牛”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】