内容导航：

Windows TCP/IP远程执行代码错误分析

Windows 如何造成远程桌面远程代码实施错误?

是什么原因导致 Windows 远程桌面远程代码实施错误?

tcp/ip的鸿沟无法弥合。

一、Windows TCP/IP远程执行代码错误分析

B6-2020-10-11901 B6-2020-10-101901 B6-2020-10-101901 B6-2020-10-101901

360-CERT是报告的来源。

360-CERT是一名记者。

2020-10-19(更新)

0x01 前言

1.1 环境搭建

(1) 攻击飞机环境为Ubuntu 20.04。

安装scapy

sudo apt install python-pip3sudo pip3 install scapy

(2) 受害人的环境: Windows 10 1909 x 64

照片来自Flickr用户pic.

(3) 两台机器的视窗驱动器调试:

https://blog.csdn.net/qq_21000273/article/details/52027708

断点：

bp tcpip!Ipv6pUpdateRDNSSbp tcpip!Ipv6pHandleRouterAdvertisementbp tcpip!Ipv6pHandleRouterAdvertisement+0xae4ccbp tcpip!Ipv6pHandleRouterAdvertisement+0xae4dbbp tcpip!Ipv6pUpdateRDNSS+0x99bp tcpip!Ipv6pUpdateRDNSS+0xca

1.2 背景知识

涉及的包类型：

type:24 Route Information Optiontype:25 Recursive DNS Server Optiontype：134 IMCPv6 Router Advertisement

涉及的结构：

_MDL结构

typedef __struct_bcount (Size ) struct _MDL { struct _MDL *Next ; CSHORT Size ; CSHORT MdlFlags ; struct _EPROCESS *Process ; PVOID MappedSystemVa ; PVOID StartVa ; ULONG ByteCount ; ULONG ByteOffset ;} MDL , *PMDL ;

_NET_BUFFER的结构

typedef struct _NET_BUFFER { union { struct { PNET_BUFFER Next; PMDL CurrentMdl; ULONG CurrentMdlOffset; union { ULONG DataLength; SIZE_T stDataLength; }; PMDL MdlChain; ULONG DataOffset; }; SLIST_HEADER Link; NET_BUFFER_HEADER NetBufferHeader; }; USHORT ChecksumBias; USHORT Reserved; NDIS_HANDLE NdisPoolHandle; PVOID NdisReserved[2]; PVOID ProtocolReserved[6]; PVOID MiniportReserved[4]; NDIS_PHYSICAL_ADDRESS DataPhysicalAddress; union { PNET_BUFFER_SHARED_MEMORY SharedMemoryInfo; PSCATTER_GATHER_LIST ScatterGatherList; };} NET_BUFFER, *PNET_BUFFER;

相关函数：

NdisgetDataBuffer 是一个函数 。

PVOID NdisGetDataBuffer( PNET_BUFFER NetBuffer, ULONG BytesNeeded, PVOID Storage, UINT AlignMultiple, UINT AlignOffset);

Netbuffer:NET_BUFFER结构的指针。

ByteesNeed:需要的连续数据字节数。

储存:缓冲区的指针。如果打电话者不提供缓冲区,打电话者将能够提供缓冲区。则为NULL。缓冲区必须大于或等于字节内德所示字节数。如果此参数不是 NULL,此外,必要的数据不是连续的。NDIS将把所需数据传送到存储处指定的地址。

Ipv6pHandleRoutAdvoliment 功能在 Windows 中处理 IPv6 路由器通知 。在该函数中调用 NdisgetDataBuffer 是一个函数 。从 NET_BUFFER 结构中访问连续或不连续的数据，通过 NET_BUFFER ->CurrentMdlOffset 字段来记录要访问数据起始地址相对于_MDL->MappedSystemVa 的偏移。

0x02 漏洞分析

2.1 漏洞背景

2020年10月14日 360 CERT监测发现Microsoft发布了TCP/IP远程代码实施方面的差距的风险通告，造成泄漏的原因是Windows TCP/IP堆叠中正在处理IMPCPv6 Road Agency(圆环)数据集的问题,以及数据包缺口。ICMPv6公路广告数据包是由远程攻击者创建的。然后传送到遥远的Windows主机它具有产生远距离BSOD的潜力。CVE -2020 -16898是泄漏号码

2.2 漏洞成因

rffc5006称:RDNS 软件包的长度应为奇数整数。当袭击者的RDNS捆绑的长度达到平坦的时候,在检查包期间,Windows TCP/IP将使用长度来确定每个包件的抵消。遍历解析，因此,在解析 IPv6 Recursive DNS 服务器的界限和下一个 RDNS 选项时发生了错误。从而绕过验证，正在审查攻击者伪造的选项包。造成栈溢出，从而导致系统崩溃。

以下是RDNSS办公室的数据集格式:

25型RDNSS(8位)

8 位无符号整数长度单位长度为八字长。因此,类型、长度、保留时间和寿命加起来为8字节。一个单位长度，一个 IPv6 地址由 16 字节组成 。两个单位长度，因此,长度的最低值为3。且为奇数。

保持字段保留 。

生命是32比特的无符号整数 一个生命周期。

IPv6 递归性 DNS 服务器地址: 保存 RNDSS 的 IPv6 地址 。每个占16个字节，长度字段受地址数的影响。number=(Length - 1) / 2。每增加一个地址，Length加2。

漏洞点存在于tcpip.sys -> Ipv6pHandleRouterAdvertisement 函数

漏洞调用链为：Icmpv6ReceiveDatagrams -> Ipv6pHandleRouterAdvertisement -> Ipv6pUpdateRDNSS

Ipv6pHandleRouterAdversion 函数有两个循环。第一周期横跨所有信头。做一些基本的验证，例如,长度的大小。第二个循环是包件处理。这一阶段也不再经过认证。这两个周期的假编码如下:

/1个完整(1)环.. v28 = (KIRQL *)NdisGetDataBuffer(v9, 2u, v182, 1u, 0); v27 = v9->DataLength; actual_length_bytes = 8 * v28[1]; …… switch ( v25 ) { case 0x18u: // case 0x18 (ICMPv6NDOptRouteInfo) …… if ( actual_length_bytes > 0x18u || (v144 = *((_BYTE *)NdisGetDataBuffer(v9, actual_length_bytes, v220, 1u, 0) + 2), v144 > 0x80u) || v144 > 0x40u && actual_length_bytes < 0x18u // <-----【1】验证实际字节数，不能大于0x18 || v144 && actual_length_bytes < 0x10u ) { *a3 = 24; goto LABEL_275; } break; case 0x19u: // case 0x19 (ICMPv6NDOptRDNSS) // <-----【2】 if ( (*(_BYTE *)(v11 + 404) & 0x40) != 0 && actual_length_bytes < 0x18u ) *a3 = 25; break; } …… if ( actual_length_bytes ) { v31 = actual_length_bytes + v9->CurrentMdlOffset; if ( v31 >= *(_DWORD *)(v9->Link.Region + 0x28) ) { NdisAdvanceNetBufferDataStart(v9, actual_length_bytes, 0, 0i64);// <---actual_length_bytes=4*8=0x20 } else { v9->DataOffset += actual_length_bytes; v9->DataLength -= actual_length_bytes; v9->CurrentMdlOffset = v31; // 更新CurrentMdlOffset } } v21 += actual_length_bytes; } ……/而(1) 第2圈.. if ( *v75 == 0x18 ) // case 0x18 (ICMPv6NDOptRouteInfo) { …… v153 = (unsigned __int8 *)NdisGetDataBuffer(NetBuffer_1, actual_option, Storage_1, 1u, 0); // <--- 【3】 v225 = _mm_load_si128((const __m128i *)&_xmm); v174 = v225.m128i_u32[((unsigned __int64)v153[3] >> 3) & 3]; …… } if ( *v75 == 0x19 ) // case 0x19 (ICMPv6NDOptRDNSS) { if ( (*(_BYTE *)(v11 + 0x194) & 0x40) != 0 ) { Ipv6pUpdateRDNSS(v11, NetBuffer_1, Buf2, v189, &v170); // <---- 【4】 goto LABEL_309; } } else if ( *v75 == 31 && (*(_BYTE *)(v11 + 404) & 0x40) != 0 ) { Ipv6pUpdateDNSSL(v11, NetBuffer_1, Buf2, (unsigned int)v189, &v170);LABEL_309: v77 = v166; goto LABEL_118; } ……}

第一个循环检查每个信头的正确性 。最初先拿到第一个选项包包 。长度为 0x4 。长度 *8=0x20字节为实际字节。第一步是修改 _net_buffer 结构。使用实际字节计算选项抵消,后退一步,从备选方案2后退一步,它取决于后面的选择。 Length对选择3, 选择4..

因此它没有处理, 因此它跳过长度测试, 情况是: 0x18。 结果, 如果选择1, 当长度设定为 3 时, 构造图中的包件将因长度为 0x22 而无效 。

第二个周期专门针对每个备选方案包。在 Ipv6 updateRDNSS 函数中, 但是, 情况: 0x19,(legth-1/2) 用于计算 IPv6 地址数 。这产生的结果与长度=0x4和长度=0x3时的结果相同。* 8+8 (Type/Length/Reserve/Length/终身)所以我们跳过 0x18 字节 进入,它被解释为类型=0x18 选项包。也没有确认长度。

简言之,泄漏是由审查和拆除装备包时视长度的不同而变化造成的,导致攻击者逃避检查,解剖假选择包,最终导致垫子泄漏。

0x03 漏洞利用

以下是具体的调试程序:

(一) 首先,转到第1周期第二部分。博客在一篇题为“Longth的真实字节号小于0x18”的文章中声称。然后执行 NdisAdvanceNetBufferDataStart 。_NET_BUFER_结构、_NET_BUFER_结构、_NET_BUFER_结构、_NET_BUFERFER获得下一个选项的选项抵消无法启动 Evolution 的邮件组件 。

在援引 NdisAdvance NetBufferDataStart 之前:

kd> dt ndis!_NET_BUFFER @r14 +0x000 Next : (null) +0x008 CurrentMdl : 0xffffe20b`aea77e70 _MDL +0x010 CurrentMdlOffset : 0x10 +0x018 DataLength : 0x188 +0x018 stDataLength : 0x188 +0x020 MdlChain : 0xffffe20b`b0a9c220 _MDL +0x028 DataOffset : 0x70 +0x000 Link : _SLIST_HEADER +0x000 NetBufferHeader : _NET_BUFFER_HEADER +0x030 ChecksumBias : 0 +0x032 Reserved : 0 +0x038 NdisPoolHandle : 0xffffe20b`ae45cb40 Void +0x040 NdisReserved : [2] (null) +0x050 ProtocolReserved : [6] 0x00000198`00000000 Void +0x080 MiniportReserved : [4] (null) +0x0a0 DataPhysicalAddress : _LARGE_INTEGER 0x0 +0x0a8 SharedMemoryInfo : (null) +0x0a8 ScatterGatherList : (null) kd> dt ndis!_MDL 0xffffe20b`aea77e70 +0x000 Next : 0xffffe20b`aea77b10 _MDL +0x008 Size : 0n56 +0x00a MdlFlags : 0n4 +0x00c AllocationProcessorNumber : 0xffff +0x00e Reserved : 0xffff +0x010 Process : (null) +0x018 MappedSystemVa : 0xffffe20b`aea77eb0 Void +0x020 StartVa : 0xffffe20b`aea77000 Void +0x028 ByteCount : 0x30 +0x02c ByteOffset : 0xeb0kd> db 0xffffe20b`aea77eb0+0x10ffffe20b`aea77ec0 19 04 00 00 00 00 03 84-30 30 30 30 30 30 30 30 ........00000000 // <--- Option1ffffe20b`aea77ed0 30 30 30 30 30 30 30 30-18 22 fd 81 00 00 03 84 00000000."......ffffe20b`aea77ee0 00 bf 09 02 73 6d 41 72-00 00 03 00 dd bf 04 04 ....smAr........

NdisAdvanceNetbufferDataStart 之后的 NdisAdvance NetbufferDataStart :

kd> dt ndis!_NET_BUFFER @r14 +0x000 Next : (null) +0x008 CurrentMdl : 0xffffe20b`aea77b10 _MDL +0x010 CurrentMdlOffset : 0 +0x018 DataLength : 0x168 +0x018 stDataLength : 0x168 +0x020 MdlChain : 0xffffe20b`b0a9c220 _MDL +0x028 DataOffset : 0x90 +0x000 Link : _SLIST_HEADER +0x000 NetBufferHeader : _NET_BUFFER_HEADER +0x030 ChecksumBias : 0 +0x032 Reserved : 0 +0x038 NdisPoolHandle : 0xffffe20b`ae45cb40 Void +0x040 NdisReserved : [2] (null) +0x050 ProtocolReserved : [6] 0x00000198`00000000 Void +0x080 MiniportReserved : [4] (null) +0x0a0 DataPhysicalAddress : _LARGE_INTEGER 0x0 +0x0a8 SharedMemoryInfo : (null) +0x0a8 ScatterGatherList : (null) kd> dt ndis!_MDL 0xffffe20b`aea77b10 +0x000 Next : 0xffffe20b`aea78890 _MDL +0x008 Size : 0n56 +0x00a MdlFlags : 0n4 +0x00c AllocationProcessorNumber : 0xe20b +0x00e Reserved : 0xffff +0x010 Process : (null) +0x018 MappedSystemVa : 0xffffe20b`aea77b50 Void +0x020 StartVa : 0xffffe20b`aea77000 Void +0x028 ByteCount : 0x30 +0x02c ByteOffset : 0xb50kd> db 0xffffe20b`aea77b50ffffe20b`aea77b50 19 05 00 00 00 00 03 84-41 41 41 41 41 41 41 41 ........AAAAAAAA // <--- Option2ffffe20b`aea77b60 41 41 41 41 41 41 41 41-42 42 42 42 42 42 42 42 AAAAAAAABBBBBBBBffffe20b`aea77b70 42 42 42 42 42 42 42 42-19 05 00 00 00 00 03 84 BBBBBBBB........

(2) 第二周期于[4]开始:

在 Ipv6 UpdateRDNSS 中, 处理第一种选项 0x19, 将长度设为 4, 并使用代码计算 Ipv6 updateRDNSS 中的 IPv6 地址数 :

调试结果如下：

rbx 存储选项包的打开位置, [rbx+1] 获得长度字段值,即 4, esi 等于 1, ecx 等于 2, 因此,本段中IPv6 地址的确定数是 (长-1/2 = 1) 。

因此,长度设定为4,与长度=3的计算相同:

(4-1)/2 = 1(3-1)/2 = 1

因此,以下选项将根据0x18偏差处理(一个pv6地址加上类型/Length/Reserv/Lifetime)。

在援引 Ipv6 更新RDNSS 之前:

kd> dt ndis!_NET_BUFFER @r14 +0x000 Next : (null) +0x008 CurrentMdl : 0xffffe20b`aea77e70 _MDL +0x010 CurrentMdlOffset : 0x10 +0x018 DataLength : 0x188 +0x018 stDataLength : 0x188 +0x020 MdlChain : 0xffffe20b`b0a9c220 _MDL +0x028 DataOffset : 0x70 +0x000 Link : _SLIST_HEADER +0x000 NetBufferHeader : _NET_BUFFER_HEADER +0x030 ChecksumBias : 0 +0x032 Reserved : 0 +0x038 NdisPoolHandle : 0xffffe20b`ae45cb40 Void +0x040 NdisReserved : [2] (null) +0x050 ProtocolReserved : [6] 0x00000198`00000000 Void +0x080 MiniportReserved : [4] (null) +0x0a0 DataPhysicalAddress : _LARGE_INTEGER 0x0 +0x0a8 SharedMemoryInfo : (null) +0x0a8 ScatterGatherList : (null) kd> dt ndis!_MDL 0xffffe20b`aea77e70 +0x000 Next : 0xffffe20b`aea77b10 _MDL +0x008 Size : 0n56 +0x00a MdlFlags : 0n4 +0x00c AllocationProcessorNumber : 0xffff +0x00e Reserved : 0xffff +0x010 Process : (null) +0x018 MappedSystemVa : 0xffffe20b`aea77eb0 Void +0x020 StartVa : 0xffffe20b`aea77000 Void +0x028 ByteCount : 0x30 +0x02c ByteOffset : 0xeb0kd> db 0xffffe20b`aea77eb0+0x10ffffe20b`aea77ec0 19 04 00 00 00 00 03 84-30 30 30 30 30 30 30 30 ........00000000 // <--- Option1ffffe20b`aea77ed0 30 30 30 30 30 30 30 30-18 22 fd 81 00 00 03 84 00000000."......ffffe20b`aea77ee0 00 bf 09 02 73 6d 41 72-00 00 03 00 dd bf 04 04 ....smAr........

在致Ipv6更新RDNSS的电话之后:

kd> dt ndis!_NET_BUFFER @r14 +0x000 Next : (null) +0x008 CurrentMdl : 0xffffe20b`aea77e70 _MDL +0x010 CurrentMdlOffset : 0x28 +0x018 DataLength : 0x170 +0x018 stDataLength : 0x170 +0x020 MdlChain : 0xffffe20b`b0a9c220 _MDL +0x028 DataOffset : 0x88 +0x000 Link : _SLIST_HEADER +0x000 NetBufferHeader : _NET_BUFFER_HEADER +0x030 ChecksumBias : 0 +0x032 Reserved : 0 +0x038 NdisPoolHandle : 0xffffe20b`ae45cb40 Void +0x040 NdisReserved : [2] (null) +0x050 ProtocolReserved : [6] 0x00000198`00000000 Void +0x080 MiniportReserved : [4] (null) +0x0a0 DataPhysicalAddress : _LARGE_INTEGER 0x0 +0x0a8 SharedMemoryInfo : (null) +0x0a8 ScatterGatherList : (null) kd> dt ndis!_MDL 0xffffe20b`aea77e70 +0x000 Next : 0xffffe20b`aea77b10 _MDL +0x008 Size : 0n56 +0x00a MdlFlags : 0n4 +0x00c AllocationProcessorNumber : 0xffff +0x00e Reserved : 0xffff +0x010 Process : (null) +0x018 MappedSystemVa : 0xffffe20b`aea77eb0 Void +0x020 StartVa : 0xffffe20b`aea77000 Void +0x028 ByteCount : 0x30 +0x02c ByteOffset : 0xeb0kd> db 0xffffe20b`aea77eb0+0x28ffffe20b`aea77ed8 18 22 fd 81 00 00 03 84-00 bf 09 02 73 6d 41 72 ."..........smAr // <--- 伪造的optionffffe20b`aea77ee8 00 00 03 00 dd bf 04 04-00 60 6d b0 0b e2 ff ff .........`m.....

(3) 案例:第2周期0x18,涉及第2周期0x18和0x22选项的长度

为类型 0x18 调用 NdisgetDataBuffer; 第二个参数是长度的实际字节大小, 等于长度 。因此,输入实际的 legth_bittes = 0x22 = 0x22。8 = 0x110：

存储器_ 1 是堆叠数组变量 。过去我们有过0x110字节这就是你到达屋顶顶端时发生的情况。实际坠机导致烟囱饼干溢出启动 tcpip! 安全检查 cookie 。死亡蓝屏(BSOD):

在援引 NdisgetDataBuffer 函数之前:

kd> r rdx // actual_length_bytes_1rdx=0000000000000110kd> dd r8 // Storage_1fffff806`6ce9a348 00000000 00000000 00000000 00000000fffff806`6ce9a358 00000000 00000000 00000000 00000000fffff806`6ce9a368 00000000 00000000 b3b18770 ffffe20bfffff806`6ce9a378 aea77eb0 ffffe20b b021bce0 ffffe20bfffff806`6ce9a388 00000000 00000000 aea77eb0 ffffe20bfffff806`6ce9a398 00000000 00000000 b0210040 00000000

使用 NdisgetDataBuffer 函数后:

kd> dd fffff806`6ce9a348fffff806`6ce9a348 81fd2218 84030000 00000519 84030000fffff806`6ce9a358 41414141 41414141 41414141 41414141fffff806`6ce9a368 42424242 42424242 42424242 42424242fffff806`6ce9a378 00000519 84030000 41414141 41414141fffff806`6ce9a388 41414141 41414141 42424242 42424242kd> kChild-SP RetAddr Call Sitefffff806`6ce9a090 42424242`42424242 tcpip!Ipv6pHandleRouterAdvertisement+0xae522fffff806`6ce9a440 84030000`00000519 0x42424242`42424242fffff806`6ce9a448 41414141`41414141 0x84030000`00000519fffff806`6ce9a450 41414141`41414141 0x41414141`41414141fffff806`6ce9a458 00000000`00000000 0x41414141`41414141

最后,必须注意到,如果从Netbuffer_1索取的数据是连续数据,则无法通过因特网获得数据。数据将保存在 NDIS 提供的地址 。这样无法造成溢出。因此,向NetButffer_1索取的信息并非连续不断。保存存储器 1 上的信息。数据分散用于提供不连续的数据实现。scapy 碎片6 函数将 Louter 广告软件包分割成多个 IPv6 软件包 。

蓝屏崩溃现场：

0x04 补丁分析

在修正前,第一个周期的假代码为 0x19。

补丁后：

补丁加入了针对length的奇偶验证，v32为length *8的结果， 如果 length 为偶数，(v32-8)&0xf 将不等于0，则转入错误处理流程。

0x05 时间线

Microsoft 违反安全公告 2020-10-13

宣布发布2020-10-14360 CMT 发布

CMT于2020-10-16360监测公众在线访问Poc的情况。

CMT 更新 CMT 2020-10-16360

2020-10-19360 CERT差距分析报告已经发布。

0x06 参考链接

1. https://tools.ietf.org/html/rfc8106
2. https:///blogs/other-blogs/mcafee-labs/cve-2020-16898-bad-neighbor
3. http://blog.pi3.com.pl/?p=780
4. https://blog.quarkslab.com/beware-the-bad-neighbor-analysis-and-poc-of-the-windows-ipv6-router-advertisement-vulnerability-cve-2020-16898.html

二、Windows 如何造成远程桌面远程代码实施错误?

这一空白是由记忆中尚未适当处理的数据包造成的。远程攻击者通过提供定制的RDP数据集,可以进入未适当配置或已销毁的物品。执行任意代码，安装程序，查看、修改或删除任何数据,或创建拥有全部用户能力的新账户。此洞也可以用于交叉引用以前的目录( 包括系统目录) 并下载任何文件 。

三、是什么原因导致 Windows 远程桌面远程代码实施错误?

也许您打开了端口, 选择了我的计算机属性, 并删除了第二个选项框 。

四、tcp/ip的鸿沟无法弥合。

在 Windows XP 的补丁安装程序期间,根据该系统,“安装补丁和系统语言系统的语言系统不一致。”不能继续进行安装。之所以出现问题,是因为操作系统与要安装的补丁的语文版本不同。也就是说，操作系统的语文版本极有可能不是现在显示的版本。有必要安装相关的语言补丁。只是那些现在显示为语言界面的界面。可以通过安装RPC差距补丁的原语文版本来做到这一点。即使您不知道 Windows XP 的原始语言版本, 您也可以使用它 。也可以更改登记表。具体的方法是： 首先,运行注册表编辑器。 启动注册编辑器 。 (从起始菜单中选择运行。)在对话框中,键入“regedit”。不含引号）； 使用注册编辑时,你可以看到两栏，左侧有一堆文件夹形状的目录。在右边,您可以看到相关的属性。我们有HAKEYLOCOLMACHINE。用鼠标双击它，展开目录。 按照同样的操作程序,双击以下登记表项目以打开:“HKEY_LOCOL_MACHINESYSTEM ControlSet00” 控制应双击。往下拖动滚动条，无法关闭临时文件夹:%s。 在注册条目上单击鼠标右键,然后单击“确定”。在单击右键的菜单上,选择导出菜单选项。当前登记已保存为登记表文件 。 当你完成储蓄后在登记下,打开[语文]子字母。安装语句发现注册键“ Default” 和“InstallLanguage” 。将值设为“ 0804”(例如,安装 CREDIT 补丁后) 。 同样,在 [HKEY_LOCOL_MACHINESYSTEM ControlSet002Control] 中保存和编辑必要的登记内容。 修订完成后,重新启动计算机，这是我第一次在紧急情况下, 我曾经在紧急情况下, 我曾经在紧急情况下, 我曾经在紧急情况下, 我曾经在紧急情况下, 我曾经在紧急情况下, 我曾经在紧急情况下, 我曾经在紧急情况下, 我曾经在紧急情况下, 我曾经在紧急情况下, 我曾经在紧急情况下, 我曾经在紧急情况下, 我曾经在紧急情况下, 我曾经在紧急情况下, 我曾经在紧急情况下,按住键盘上的F8，调出启动菜单后，从下拉菜单中选择“ 安全模式 ” 。进入安全模式后，无法删除文件夹“{0}”。 安装完成后,双击以导出已存储在前景色中的两个已登记表格文件 。导入到注册表中，原登记表已恢复。 这就是我要说的系统泄漏补丁成功实施 。窗口可能重新启动 。正常启动进入系统。