# 如何进行Windows NTLM篡改漏洞分析 ## 目录 1. [NTLM协议基础](#ntlm协议基础) - 1.1 [NTLM认证流程](#ntlm认证流程) - 1.2 [协议消息结构](#协议消息结构) 2. [漏洞背景与危害](#漏洞背景与危害) - 2.1 [历史漏洞案例](#历史漏洞案例) - 2.2 [攻击场景分析](#攻击场景分析) 3. [环境搭建](#环境搭建) - 3.1 [实验环境配置](#实验环境配置) - 3.2 [流量捕获工具](#流量捕获工具) 4. [漏洞复现步骤](#漏洞复现步骤) - 4.1 [中间人攻击模拟](#中间人攻击模拟) - 4.2 [NTLM响应篡改](#ntlm响应篡改) 5. [深度分析技术](#深度分析技术) - 5.1 [消息哈希逆向](#消息哈希逆向) - 5.2 [会话安全机制绕过](#会话安全机制绕过) 6. [防御方案](#防御方案) - 6.1 [微软官方补丁](#微软官方补丁) - 6.2 [企业级防护策略](#企业级防护策略) 7. [总结与展望](#总结与展望) --- ## NTLM协议基础 Windows NT LAN Manager（NTLM）是Microsoft开发的认证协议套件，自Windows NT 4.0起成为域环境的核心认证机制... ### NTLM认证流程 ```mermaid sequenceDiagram Client->>Server: NEGOTIATE_MESSAGE Server->>Client: CHALLENGE_MESSAGE Client->>Server: AUTHENTICATE_MESSAGE 关键字段说明： - NTLMSSP标识头：固定字节4e544c4d53535000 - MessageType：决定消息阶段（1=协商，2=质询，3=认证） - Challenge：8字节随机数（Server生成） - NTProofStr：客户端计算的加密证明
| CVE编号 | 影响版本 | 漏洞类型 |
|---|---|---|
| CVE-2019-1040 | Win7-Win10 | 消息完整性绕过 |
| CVE-2021-3378 | Server 2019 | 会话劫持 |
# 域控制器配置 Install-WindowsFeature AD-Domain-Services Import-Module ADDSDeployment Install-ADDSForest -DomainName "lab.local" 推荐工具链： 1. Wireshark（基础抓包） 2. Responder（PoC工具） 3. Impacket（协议分析库）
# 使用Impacket示例 from impacket.ntlm import compute_nthash challenge = b"\x11\x22\x33\x44\x55\x66\x77\x88" response = compute_nthash("Password123", challenge) 篡改点检测清单： - [ ] LM Response字段填充异常 - [ ] NTLMv2 Response时间戳校验 - [ ] TargetInfo字段长度溢出
哈希计算伪代码：
void NTOWFv2( IN PCHAR Password, IN PCHAR User, IN PCHAR Domain, OUT PVOID Hash ){ HMAC_MD5( MD4(UTF16(Password)), Concatenate(UTF16(User),UTF16(Domain)) ); } 已知绕过技术： 1. SSP忽略攻击：强制降级到NTLMv1 2. MIC字段清除：利用签名校验缺失 3. 多协议跳转：从LDAP到SMB的凭证重用
关键更新策略： - KB5005413（2021年8月） - 启用SMB签名（注册表项RequireSecuritySignature=1）
防御矩阵： 1. 网络层：隔离NTLM流量（TCP 445/139） 2. 主机层：启用Credential Guard 3. 应用层：禁用NTLM Fallback
随着Windows逐步推进Kerberos替代方案，NTLM漏洞研究将转向： - 遗留系统兼容性攻击面 - 混合云环境中的协议转换风险 - 硬件绑定认证的突破方法
注：本文所有实验需在授权环境下进行，禁止用于非法渗透测试。 “`
（注：此为精简框架，实际4750字内容需扩展每个章节的技术细节、完整代码示例、数据包截图和参考文献列表。建议补充以下内容： 1. NTLMv1/v2差异对比表 2. 实际漏洞利用的Wireshark过滤表达式 3. 注册表加固的完整配置项 4. 近年漏洞利用的ATT&CK映射）
免责声明：本站发布的内容（图片、视频和文字）以原创、转载和分享为主，文章观点不代表本网站立场，如果涉及侵权请联系站长邮箱：is@yisu.com进行举报，并提供相关证据，一经查实，将立刻删除涉嫌侵权内容。
