Windows Netlogon信息泄露；Netlogon 是 Windows 域环境中的一个核心认证协议。它用于在域成员（如用户电脑、服务器）和域控制器之间建立安全通道，以便执行各种关键操作；攻击者能够通过利用 Netlogon 协议中的漏洞，获取他们本不应有权限访问的敏感信息。
详细解析一下“Windows Netlogon 信息泄露”这个安全问题。这是一个非常重要且影响深远的安全话题，核心围绕着微软的 Netlogon 远程协议 中的一个严重漏洞（通常被称为 ZeroLogon）。
1. 什么是 Netlogon 协议？
首先，理解 Netlogon 是什么至关重要。
-
功能： Netlogon 是 Windows 域环境中的一个核心认证协议。它用于在域成员（如用户电脑、服务器）和域控制器之间建立安全通道，以便执行各种关键操作，例如：
-
用户登录认证
-
组策略更新
-
计算机密码更改
-
时间同步
-
-
重要性： 这个安全通道是域信任的基础。如果它被攻破，整个 Active Directory 域的安全性都会受到严重威胁。
2. “信息泄露”的具体含义是什么？
“信息泄露”在这里是一个比较宽泛的说法，它通常指的是攻击者能够通过利用 Netlogon 协议中的漏洞，获取他们本不应有权限访问的敏感信息。这具体可能表现为：
-
窃取凭据： 拦截或伪造认证过程，从而获取用户或计算机的哈希值或凭据。
-
获取域成员信息： 通过未授权的查询，获取域内的计算机账户、用户列表等信息。
-
为权限提升铺路： 获取的信息（如计算机账户的哈希）可以被用于后续的攻击，例如 Silver Ticket 攻击，从而完全控制该计算机。
3. 核心漏洞：CVE-2020-1472 (ZeroLogon)
虽然 Netlogon 历史上存在多个漏洞，但最著名、最严重的一个就是 CVE-2020-1472，也被称为 ZeroLogon。
-
漏洞本质： 这不是传统意义上的“数据被意外发送出来”的信息泄露，而是一个特权提升漏洞。它允许攻击者完全绕过认证，直接将自己伪装成域控制器，从而可以执行最高权限的操作。
-
技术原理（简化）：
-
Netlogon 在建立安全通道时使用 AES-CFB8 加密模式。
-
该模式在实现上存在缺陷，导致在使用全零的初始化向量和密钥时，有很高的概率（约 1/256）认证成功。
-
攻击者可以不断重放全零的凭据，在几次尝试后即可成功与域控制器建立一条未经认证的、但拥有管理员权限的安全通道。
-
-
攻击者能做什么（信息泄露与破坏）：
一旦利用此漏洞成功，攻击者可以：-
重置域控制器的机器账户密码： 这是最致命的操作。攻击者可以将域控制器在 AD 中的密码重置为一个已知的值。
-
获取域控制器凭据： 在密码被重置后，攻击者可以使用这个已知的密码向域控制器进行认证，并请求所有用户的凭据数据（NTLM 哈希），这相当于获取了整个域的“万能钥匙”。
-
完全控制域： 拥有域控制器的哈希后，攻击者可以创建新用户、加入域管理员组、部署后门等，实现对整个域的完全掌控。
-
所以，在 ZeroLogon 的语境下，“信息泄露”的严重性被提升到了极致——泄露的是整个 Active Directory 域的所有秘密。
4. 受影响的系统
-
Windows Server 2008 R2 及之后的所有服务器版本（作为域控制器时）
-
相应的 Windows 客户端系统在与域控制器通信时也可能受到影响。
5. 如何防护与修复
微软已经发布了修复此漏洞的补丁，并强制推行了更安全的协议模式。
-
立即安装补丁：
-
确保所有域控制器都安装了 2020 年 8 月及之后的安全更新。这些更新强制实施了 Netlogon 安全 RPC，要求对连接进行签名和加密。
-
-
启用“强制模式”：
微软的修复分为两个阶段：-
第一阶段：强制执行模式： 域控制器在收到未签名的 Netlogon 请求时会记录事件 ID 5829（警告），但仍允许连接以保持兼容性。
-
第二阶段：强制模式： 域控制器会拒绝来自未打补丁的客户端的、不安全的 Netlogon 请求。
-
操作： 您需要通过组策略在所有域控制器上启用强制模式。关键注册表项是
FullSecureChannelProtection和RequireSignOrSeal。
-
-
使用 Microsoft 的检测脚本：
微软官方提供了 PowerShell 脚本来检测您的域控制器是否容易受到 ZeroLogon 攻击。强烈建议运行此脚本进行自查。 -
网络层面控制：
-
限制对域控制器（TCP 端口 445、135 等）的网络访问，只有必要的域成员可以与其通信。
-
“Windows Netlogon 信息泄露”通常特指像 ZeroLogon (CVE-2020-1472) 这样的高危漏洞。它远不止是泄露一些普通数据，而是可能泄露整个域的认证凭据，导致整个网络被完全攻陷。
对于任何仍在使用 Windows 域环境的组织来说，验证并确保 Netlogon 漏洞已被完全修复是当前最重要、最紧迫的安全任务之一。 必须确保所有域控制器都已打补丁并运行在“强制模式”下。
Windows Netlogon信息泄露（Windows Netlogon Information Disclosure）是指利用Windows操作系统中Netlogon组件的漏洞，可能导致敏感的凭据和其他网络身份验证数据被未经授权的访问者获取。
Netlogon 是Windows中的一个关键组件，负责处理计算机之间的身份验证和安全通信。攻击者可以利用存在的漏洞来执行信息泄露攻击，获取Netlogon组件中存储的敏感信息。
导致Windows Netlogon信息泄露的原因可能包括以下几个方面：
密码破解：攻击者可能使用弱密码或密码破解技术来获取Netlogon组件的凭据信息。
操作系统漏洞：存在未修补的操作系统漏洞可能导致Netlogon组件受到攻击，并泄露其中的信息。
社会工程学攻击：攻击者可能通过欺骗用户或管理员来获取他们的凭据信息，然后利用这些信息访问Netlogon组件。
为了防止Windows Netlogon信息泄露，可以采取以下措施：
及时更新操作系统和软件：确保操作系统和相关软件都是最新的版本，并及时应用补丁程序和安全更新，以修复已知的漏洞。
使用强密码策略：制定强密码策略并加强对用户账户的访问控制，避免使用弱密码和常见密码。
启用多因素认证：启用多因素认证可增加身份验证的安全性，降低被攻击者利用泄露的凭据进行访问的风险。
定期审查日志：定期审查Netlogon组件相关的日志，以检测异常活动和潜在的信息泄露情况。
培训与意识：提供安全培训与意识教育，加强用户和管理员对社会工程学攻击的防范意识，避免被欺骗泄露凭据。
请记住，上述建议是一般性的安全措施。针对具体的Windows Netlogon漏洞和攻击技术，可能需要参考厂商发布的安全公告和建议，及时采取相应的补救措施。同时，遵守法律法规，不要滥用漏洞或进行非法活动。
浙公网安备 33010602011771号