本文提出了一种名为 RetSpill 的内核利用技术，旨在简化在控制流劫持原语（CFHP）基础上进行 Linux 内核权限提升的过程。现代内核安全缓解措施（如 SMAP、SMEP、KASLR、stack canary 等）使得传统的 ret2usr、ROP 等利用手段变得困难，攻击者不得不开发复杂且脆弱的攻击链。RetSpill 的核心洞察是：内核栈上已经残留了大量用户空间可控的数据（例如系统调用参数、指针、数据块等），攻击者可以巧妙地利用这些现有数据来构造恶意代码指针或数据，从而绕过内核栈不可执行等保护，实现权限提升。该方法不需要引入额外的 gadget 或复杂的内存布局操纵，而是通过精确控制栈上用户数据的位置和内容，在控制流劫持发生时直接重用这些数据作为攻击载荷。论文详细分析了内核栈上用户数据的来源、生命周期和可控性，并实现了针对多个 Linux 内核版本和不同配置的利用原型。实验表明，RetSpill 能够稳定地绕过现有的内核保护机制，显著降低利用难度，并提高了利用的可靠性。该工作对内核防御者具有重要警示意义：仅依赖硬件辅助保护（如 SMAP/SMEP）是不够的，需要重新审视内核栈上数据残留的风险，并考虑在编译时或运行时对栈数据进行清理或隔离。适合内核安全研究者、漏洞利用防御工程师以及操作系统安全领域的学生阅读。