一个没打补丁的现代Windows 10机器，开着445端口，漏洞利用从外网扫到到拿到SYSTEM权限，程序现在可能只需要不到十分钟。现代这不是漏洞利用危言耸听。去年我帮一个朋友处理他公司内网的程序一台测试机，用EternalBlue的现代变种，三步就进去了。漏洞利用整个过程比我泡一碗方便面还快。程序

漏洞利用程序开发，现代核心就三件事：找洞、漏洞利用控制执行流、程序绕过缓解机制。现代找洞靠逆向和Fuzzing，漏洞利用这步最耗时间。程序控制执行流是把EIP/RIP指到你放shellcode的地方，老掉牙的栈溢出现在几乎绝迹，取而代之的是UAF、类型混淆、整数溢出这些。绕过缓解机制才是现代Windows漏洞利用的真正门槛。

DEP、ASLR、CFG、ACG、CIG，微软这些年堆了一摞防护。十年前写exploit，一个jmp esp就能搞定。现在？你得先信息泄露拿到模块基址，再用ROP链把VirtualProtect调起来，把shellcode所在内存改成可执行。x64下参数还得走寄存器，RCX、RDX、R8、R9，一个都不能错。我见过有人调ROP调了三天，最后发现是栈对齐差了8字节。

堆利用是现在的重头戏。Windows的堆管理器从NT Heap到Segment Heap，结构越来越复杂。LFH、NT Heap的元数据被破坏后能干什么？覆写虚表指针、篡改_TOKEN结构、改进程的Privileges。去年一个CTF赛题里，我通过覆写_EPROCESS的Token指针，直接把一个普通用户进程提权到SYSTEM。那题卡了我整整一个周末，最后发现是堆喷的时机不对，早了一步。

内核漏洞更刺激。驱动里一个任意地址写，配合GDI对象或者Palette对象，就能完成内核态任意读写。然后呢？把当前进程的Token换成SYSTEM的，或者直接关掉DSE（驱动签名强制），加载一个未签名的rootkit。我拆过一个勒索软件的驱动，它用了一个IOCTL处理里的空指针解引用，配合堆风水，在Ring0里执行了任意代码。那个驱动甚至没开CFG。

工具链方面，WinDbg是必备的，但别指望它友好。IDA Pro或者Ghidra做静态分析，Python写exp脚本，pwntools在Windows上也能用。我习惯用Visual Studio编译shellcode，调试的时候挂上WinDbg，看寄存器和栈。有一次调一个UAF，堆块被释放后立刻被复用，我花了两个小时才搞明白是LFH的bucket分配策略在捣鬼。

说点实际的。现在写Windows exploit，信息泄露比代码执行更难找。一个任意读漏洞的价值往往高于任意写。ASLR绕过靠的就是信息泄露，没有泄露，ROP链就是空中楼阁。另外，别忽视版本差异。Windows 7、10、11的内核结构变了太多，同一个漏洞在不同版本上的利用方式可能完全不同。我见过一个exploit在Win10 1909上稳定复现，到了Win11 22H2直接蓝屏，因为_TOKEN结构偏移变了。

最后提一句，微软的Mitigation Arsenal和Exploit Protection不是摆设。CFG（控制流保护）让间接调用只能跳到合法函数入口，ACG禁止动态生成可执行代码。绕过它们需要更精细的手法，比如用合法的系统调用做ROP，或者利用JIT编译器把shellcode变成可执行内存。这行没有银弹，每个漏洞都是定制化的工作。你花一周写的exploit，可能只对特定补丁级别有效。这就是现实。