高危零日漏洞曝光：Windows 系统 NTLM 凭据可被轻易窃取

近日，0patch 团队在其博客上公布了一项重大的安全发现，指出Windows系统中存在一个高危零日漏洞。这一漏洞涉及到NTLM（NT LAN Manager）身份验证协议，令人担忧的是，攻击者可以通过简单的诱骗手段在不打开文件的情况下窃取用户的NTLM凭据。这一消息为众多Windows用户敲响了警钟。

NTLM协议简介

NTLM是微软早期Windows操作系统中采用的身份验证协议。它基于挑战/应答机制，通过在用户和服务器之间交换凭据来验证身份。尽管NTLM曾被广泛使用，但随着技术的发展，安全性逐渐遭到质疑。许多安全专家建议企业和个人用户尽可能避免使用这一过时的认证协议，而转向更安全的替代方案，如Kerberos。

漏洞细节探讨

根据0patch团队的描述，该漏洞尚未被分配CVEs编号，意味着它并未被官方正式确认。漏洞的攻击方式相对简单，攻击者只需诱使用户在Windows文件管理器中查看含有恶意代码的文件，如共享文件夹、USB驱动器或下载文件夹。值得注意的是，用户甚至不需要打开这些文件，单纯地查看这些文件就足以触发攻击。

当用户无意中访问这些恶意文件时，系统会强制建立与某个远程共享的出站NTLM连接。这一连接使得Windows系统自动发送登录用户的NTLM哈希值，攻击者随即可以通过网络截获这些哈希值。进一步攻击后，攻击者可以使用漏洞工具来破解这些哈希值，从而获得用户的登录名和明文密码。

受影响的系统

这一漏洞影响范围广泛，包括所有的Windows版本，从Windows 7、Windows Server 2008 R2，到最新的Windows 11和Windows Server 2022。由于许多企业和用户仍在使用这些操作系统，因此该漏洞的潜在风险不容小觑。

应对措施

为了应对这一高危漏洞，0patch团队已向微软报告此事，他们决定在微软发布正式修补补丁之前不公开漏洞的详细信息。同时，0patch也为其所有注册用户提供了针对该漏洞的微补丁免费服务。这为用户提供了一个临时解决方案，尽可能降低遭受攻击的风险。

用户应采取的预防措施

在等待微软发布正式补丁的同时，用户可以采取以下几种预防措施来保护自己的系统和数据安全：

1. 禁用NTLM身份验证：用户可以通过组策略或注册表禁用NTLM认证。具体方法是在“安全设置”>“本地策略”>“安全选项”中配置“网络安全: 限制NTLM”策略。这将减少系统受到恶意攻击的风险。

2. 保持系统更新：确保系统始终更新到最新版本，及时修补其他潜在安全漏洞。

3. 谨慎操作文件：特别对待来自不明来源的文件，无论是通过电子邮件、共享文件夹还是USB驱动器发送的文件。在打开任何可疑文件之前，做好充分的安全检查。

4. 定期更换密码：如怀疑自己的NTLM凭据已被窃取，应立即更换所有相关账号的密码，并开启多重身份验证。

5. 使用安全解决方案：可考虑部署企业级防御解决方案，以检测和阻挡潜在的网络攻击。

此次曝光的NTLM漏洞提醒我们，数字世界中的安全威胁无处不在。随着网络攻击手段的日益复杂，用户和企业应时刻保持警惕，及时更新安全策略和防护措施。在微软正式修复该漏洞之前，务必采取必要的预防措施，以保护个人和企业的数据安全。