安全研究人员揭示了Windows Dropbox中的一个零日漏洞，该漏洞允许攻击者从一个简单的Windows用户的起点获得Windows系统权限。

Windows Dropbox for Windows零日漏洞是什么？

两名安全研究员克里斯丹尼利(Chris Danieli)和另一名名为Decoder的安全研究员在9月份首次发现了这一漏洞，并于9月18日通知了Dropbox。当时他们明显告诉Dropbox，在公开披露这个问题之前，

您有90天的时间来解决这个问题。90天过去了还没有修复，所以我们在这里。

该漏洞存在于Windows Dropbox中，是一个任意文件覆盖问题。它可为攻击者提供本地用户访问权限和升级权限，以系统身份执行代码。问题是DropboxUpdater服务。

虽然研究人员没有公布利用代码，但它似乎允许本地用户替换可执行文件，然后由系统执行。

DropboxUpdater是作为Dropbox客户端软件的一部分安装的。Decoder的意思是在标准安装中作为一个系统运行，“任务调度器每小时运行一次dropboxupdate任务”。

每次触发此操作时，它都会将日志文件写入系统帐户容易被利用的位置。研究人员可以覆盖由系统帐户控制的文件，并获得具有这些系统权限的外壳(命令行界面)。

利用这个漏洞有多难？

我很高兴地说，实际上有几项缓解措施。首先，攻击者必须已经拥有本地用户对目标计算机的访问权限。这立即排除了整个威胁场景，但这并不意味着这个漏洞是一头死驴。事实并非如此。

特权提升漏洞利用是威胁参与者在设备和任何其他网络上获得立足之地的一种惯用方式。Dropbox客户端也必须以标准方式安装，并具有管理员权限，但由于大多数人可能会实现这种默认设置，因此缓解程度并不大。

根据Bleeping Computer的报告，oPatch提供了一个“微补丁”，可以通过从DropboxUpdater中切断日志来编写代码，暂时解决问题，直到完整的Dropbox修复发布。

Dropbox怎么说零日漏洞？

我联系了Dropbox，寻求对这个漏洞的评论。Dropbox发言人表示：“我们通过漏洞奖励计划了解到了这个问题，并将在未来几周内推出修复程序。只有在有限的情况下，我们才能利用这个错误。

我们还没有收到任何关于这个问题的报告。影响我们用户的漏洞。"

更多windows 10安全提示

你是windows 10用户吗？因为你是零日漏洞，是可以改变Windows Defender安全设置的僵尸攻击类型，你担心恶意恶意软件吗？很多Windows安全专家聚在一起。

帮我用八个简单的步骤来写这个指南，保护windows 10的安全。这是必读的。