Security Affairs 网站披露，安全专家发现了一种名为 DFSCoerce 的新型 Windows NTLM 中继攻击，它允许攻击者控制 Windows 域。
DFSCoerce 攻击依赖分布式文件系统 (DFS)：命名空间管理协议 (MS-DFSNM) 来完全控制 Windows 域。分布式文件系统 (DFS)：命名空间管理协议为管理 DFS 配置提供了 RPC 接口。
安全研究员 Filip Dragovic 发布了一个新的 NTLM 中继攻击的概念验证脚本，该PoC基于PetitPotam 漏洞，并滥用 MS-DFSNM 协议而不是使用 MS-EFSRPC。
著名 CERT/CC 专家 Will Dormann 证实，该攻击可能允许威胁攻击者从域控制器获取 Ticket Granting Ticket (TGT)。
为了缓解该攻击，研究人员建议应遵循微软关于缓解 PetitPotam NTLM 中继攻击的建议，例如禁用域控制器上的 NTLM 并启用身份验证扩展保护 (EPA) 和签名功能，以及关闭 AD CS 服务器上的 HTTP。
参考文章：
https://securityaffairs.co/wordpress/132473/hacking/dfscoerce-attacks-windows-domains.html
精彩推荐
原文始发于微信公众号（FreeBuf）：新的DFSCoerce NTLM中继攻击允许攻击者控制Windows域
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论