Windows XP 專業版系統還原檔案權限缺陷：本地用戶可竊取 SAM/SECURITY Hive

漏洞概覽

技術細節：為何會洩露敏感資料？

系統還原將登錄備份（Hive）儲存於 System Volume Information\_restore{GUID}\RPxxx\Snapshot。雖然父目錄受 ACL 限制，但 子目錄與檔案未繼承保護，導致任何本地用戶只要猜測或查詢出 GUID 路徑，即可直接存取：

_REGISTRY_MACHINE_SAM        ← 本地帳戶密碼雜湊
_REGISTRY_MACHINE_SECURITY   ← 安全策略、LSA 密鑰
_REGISTRY_MACHINE_SOFTWARE   ← 應用程式設定、啟動項
_REGISTRY_MACHINE_SYSTEM     ← 驅動、服務設定
_REGISTRY_USER_.DEFAULT      ← 預設用戶設定
_REGISTRY_USER_NTUSER_S-1-5-18 ← SYSTEM 用戶設定

攻擊重現步驟

1. 查詢還原目錄路徑：

   reg query "HKLM\System\CurrentControlSet\Control\BackupRestore\FilesNotToBackup" /v "System Restore"
   

2. 進入對應 Snapshot 子目錄，複製目標 Hive 檔案。
3. 離線載入至登錄編輯器（File → Load Hive），竊取 SAM 雜湊或植入惡意啟動項。
4. 管理員執行系統還原時，惡意修改生效，實現權限提升或持久化。

風險評估與影響

• 機密性：離線破解 SAM 雜湊可取得所有本地帳戶密碼。
• 完整性：修改 SOFTWARE Hive 可植入後門、關閉防火牆、新增服務。
• 可用性：破壞 SYSTEM Hive 導致系統無法開機。

緩解措施與修補建議

1. 立即安裝 Windows XP SP1 或更新版本（微軟官方修補）。
2. 若無法升級，手動為 System Volume Information 遞迴設定 Administrators:Full Control; SYSTEM:Full Control，移除 Users 存取權。
3. 啟用 Syskey（系統金鑰）加密 SAM，增加離線破解難度。
4. 限制一般用戶本地登入權限，採用最小權限原則。

參考連結：Windows XP SP1 下載頁面