你看到这个笑话了吗?今天是 MSNightmare 最开心的一天.
前情概要: 让Gemini 3.1 Pro 或Grok 4.5分别执行
gh issue view 1 -R MSNightmare/ShieldBreak --comments
gh issue view 5 -R MSNightmare/ShieldBreak --comments
评价三个用户Salah-Code-Lab,bytecategory,MSNightmare

拎出来看看有没有两把刷子:
https://github.com/Salah-Code-Lab/ShieldBreak_Mitigation/blob/master/ShieldBreak_Mitigation/Core.c

Core.c只会处理以下几种文件状态: FILE_CREATE FILE_OPEN_IF FILE_OVERWRITE_IF FILE_SUPERSEDE 和 FILE_OVERWRITE.
所以Core.c和 Windows Defender 没有任何关系,大家都可以散了.
作者本人(msnightware)的回复如下
你知道在原始PoC中修改一行代码就会让你的驱动程序失效吗？
我认为微软需要你的技能, 请在这里申请:https://aka.ms/msrcjobs
他这漏风的筛子和 raw.githubusercontent.com/MSNightmare/ShieldBreak/refs/heads/main/ShieldBreak.cpp 几乎无关,
我随便想一个就能绕过:PoC先在其他%TEMP%生成带ADS的文件,然后再调用一行 MoveFile( IRP_MJ_SET_INFORMATION）把它移进System32.

BOOLEAN isSystemCaller = PsIsSystemThread(PsGetCurrentThread()) || PsGetCurrentProcessId() == (HANDLE)4;

还有这个条件判断 难道他以为以System权限运行的进程的PID都是4吗?

// my mind is malfunctioning i had been awake for more than 17 hours without any meals or drinks
// i wont explain it i am too tired

我宣布自己获得国运绷住大赛冠军

raw.githubusercontent.com/Salah-Code-Lab/ShieldBreak_Mitigation/refs/heads/master/README.md
引用一下他的话
"the Only way if i truly wanted to Stop it dead in its tracks is Patch the SSDT, Patch Ntoskrnl.exe directly via physical pages to fail KeBugCheckEx so PatchGuard wont be able to call it (Requires HVCI off)"
自废修为: 看他的括号(Requires HVCI off).为了Core.c,他把HVCI,PatchGuard这两个内核安全机制都关掉了.
多此一举: Hook蓝屏函数是早期木马(或者游戏外挂)用的手段,因为木马的实现在特定条件下可能会触发空指针解引用,非法内存访问等问题,从而蓝屏,例如从链表摘除进程.
这Mitigation连MSRC也未必会想出.
"the Exploit is already Flinicky and requires the Object Manager Subsystem i wanted to do that but the Structures and the Undocumented API's were not worth it"
翻译: API没文档,他不屑于用.羡慕他老资历穿越到2026年,认为ObRegisterCallbacks是undocument API.实际上ObRegisterCallbacks从Vista SP1/Server 2008起就公开设备驱动程序接口了.
总结:
MSNightmare发了一个利用多种机制(Cdlft,Flt,ADS)的Defender提权漏洞.
然后Salah舍我其谁的冲了进来,滴水未进17个小时,给了他一个把PID 4当成SYSTEM的WDK HelloWorld Template.
回到暗无天日的地下室,屏幕上跳跃01010101010101,认为自己在与大坏蛋MSNightmare斗争到底.
"I am always watching"可以让我得上病理性发笑了. (确信

站在道德制高点上的圣母,他们只爱抽象的人(人类),不爱具体的人(MSN).在忏悔录中奥古斯丁哭狄多,却不哭自己真实的灵魂与邻人.

The attacker, Chaotic Eclipse, is notorious for multiple high-impact Windows zero-day releases in 2026, targeting core system security features.
这段文本来自于 arcticwolf. com/resources/blog/cve-2026-50656-rogueplanet-shieldbreak/
他们在说Eclipse臭名昭著, 啊对对对, 别人在"would had done something for this humanity", 他则"represent a severe risk window for all industries"
ADS的确是老旧的技术手段(2015年MJ0011也在用), 但你要不看看Salah的注册时间?
如果这些漏洞被不法分子利用,微软为什么不直接修复呢?他们是不是stupid?
你猜Salah是怎么喜提祖国人这个外号的吗? 他回复某人说:"i do what ever what i want!" 这不台词吗?