漏洞原理

CVE-2021-31199 是一个 Windows 用户账户控制（UAC）绕过漏洞，CVSS 3.1 评分 7.8（高危）。其核心原理如下：
UAC 机制缺陷：
Windows UAC 通过限制应用程序权限提升系统安全性，但某些系统组件（如 ComputerDefaults.exe）被标记为“自动提升”的白名单程序。攻击者利用这些程序的权限提升特性，绕过 UAC 提示。
文件关联劫持：
漏洞利用 Windows 对 .msc 文件（Microsoft 管理控制台快照）的关联处理缺陷。当用户双击 .msc 文件时，系统会调用 ComputerDefaults.exe（以管理员权限运行），但该程序未正确验证文件路径，导致攻击者可劫持文件关联，执行恶意代码。
权限提升链：
攻击者通过修改注册表或文件关联，将恶意脚本伪装为 .msc 文件，触发 ComputerDefaults.exe 以管理员权限执行该脚本，最终实现权限提升。

利用方式

攻击场景：
攻击者通过钓鱼邮件、恶意网站或 USB 驱动器传播恶意 .msc 文件或链接。
用户双击文件或点击链接时，触发漏洞执行恶意代码。
技术细节：
文件关联劫持：攻击者修改注册表项 HKEY_CLASSES_ROOT\MSCFile\shell\open\command，将 .msc 文件的默认打开程序指向恶意脚本（如 powershell.exe -Command "恶意代码"）。
UAC 白名单利用：当用户打开 .msc 文件时，系统调用 ComputerDefaults.exe（自动提升权限），但该程序未验证文件路径，直接执行攻击者指定的恶意命令。
权限提升：恶意脚本以管理员权限运行，攻击者可执行创建管理员账户、植入后门等操作。
在野利用：该漏洞在 2021 年被多次在野利用，常与钓鱼攻击结合，诱导用户执行恶意文件。

防御方法

及时更新补丁：微软已于 2021 年 5 月发布安全更新（KB5003637），建议用户立即升级到 Windows 10 版本 19042.1052（或更高版本）。
禁用 UAC 白名单程序：通过组策略禁用 ComputerDefaults.exe 的自动提升权限功能：计算机配置 > 管理模板 > Windows 组件 > 用户账户控制 > 允许 UIAccess 应用程序绕过 UAC 提示，设置为“已禁用”。
限制文件关联权限：保护注册表项 HKEY_CLASSES_ROOT\MSCFile\shell\open\command 的权限，仅允许管理员修改。
安全工具防护：
使用防病毒软件和 EDR 工具检测恶意 .msc 文件及异常进程。
部署邮件网关过滤包含可执行内容的附件。
用户教育：避免打开来源不明的 .msc 文件或链接，尤其是通过邮件或即时通讯工具接收的文件。