欢迎大家来到IT世界,在知识的湖畔探索吧!
在最近的网络安全研究中发现，一种针对Windows域控服务器的新型NTLM中继攻击方法曝光，该中继攻击方法被命名为DFSCoerce，其核心原理是利用分布式文件系统 (DFS)的命名空间管理协议 (MS-DFSNM) 来控制Windows域服务器。
根据中国网络安全行业门户极牛网(GeekNB.com)的梳理，MS-DFSNM是为了方便管理分布式文件系统的配置，而提供的一个远程过程调用RPC接口。
NTLM（NT Lan Manager）中继攻击模型中，恶意方位于客户端和服务器之间，拦截和中继经过验证的身份验证请求，以获得对网络资源的未经授权的访问，从而有效地在AD域控环境中获得初步立足点。
DFSCoerce攻击方法和一个名为PetitPotam的攻击方法十分类似，该PetitPotam攻击方法是滥用微软的加密文件系统远程协议 (MS-EFSRPC) 来强制Windows域控服务器通过攻击者控制下的中继进行身份验证，以此让攻击者接管整个域控。
根据安全研究人员对该攻击手法的攻击链进行分析，通过将来自域控制器的 NTLM 身份验证请求中继到证书颁发机构的证书注册服务，攻击者可以获得一个用于访问域控的证书。
为了缓解该 NTLM 中继攻击，微软建议启用身份验证扩展保护 (EPA)、SMB 签名和关闭域控服务器上的HTTP通信等缓解措施。
免责声明：本站所有文章内容,图片，视频等均是来源于用户投稿和互联网及文摘转载整编而成，不代表本站观点，不承担相关法律责任。其著作权各归其原作者或其出版社所有。如发现本站有涉嫌抄袭侵权/违法违规的内容,侵犯到您的权益，请在线联系站长,一经查实,本站将立刻删除。 本文来自网络,若有侵权，请联系删除，如若转载，请注明出处：https://itzsg.com/91679.html
