新型MITM6+NTLM中继攻击可导致权限提升并完全控制域环境
内容提要
一种结合MITM6与NTLM中继技术的攻击链可完全控制Active Directory域，攻击者利用Windows IPv6自动配置迅速提升权限。防御措施包括禁用IPv6、限制计算机账户创建和实施签名验证。此攻击隐蔽性强，企业需加强监控与防护。
延伸解读
攻击隐蔽性与防御挑战
MITM6与NTLM中继攻击利用Windows内置协议，攻击者无需恶意软件即可实施。这种隐蔽性使得企业在监测和防御时面临巨大挑战，尤其是在未启用IPv6的情况下，攻击仍然可能发生。企业需加强对网络流量的监控，及时发现异常行为。
默认配置的安全隐患
Active Directory的默认设置，如ms-DS-MachineAccountQuota，允许认证用户创建多个计算机账户，这为攻击者提供了可乘之机。企业应审视并调整这些默认配置，以降低潜在的安全风险，确保只有授权用户才能创建计算机账户。
关键防御措施
为了有效防御MITM6与NTLM中继攻击，企业应采取多重防护措施，包括禁用IPv6、设置ms-DS-MachineAccountQuota为0、强制实施SMB和LDAP签名等。这些措施能够显著降低攻击成功的可能性，保护企业的网络安全。
Q&A
MITM6与NTLM中继攻击是如何工作的？
该攻击结合了MITM6和NTLM中继技术，利用Windows的IPv6自动配置功能，攻击者可以在短时间内提升权限并完全控制Active Directory域。
企业如何防御MITM6与NTLM中继攻击？
防御措施包括禁用IPv6、设置ms-DS-MachineAccountQuota为0、启用签名验证和部署DHCPv6防护。
攻击者如何利用Windows的默认设置进行攻击？
攻击者利用Active Directory默认允许创建10个计算机账户的配额机制，创建恶意账户并获得高权限。
成功实施攻击后，攻击者能获得什么权限？
攻击者可以提取NTLM哈希并进行横向移动，甚至获得域管理员的模拟权限。
MITM6攻击的隐蔽性如何影响企业安全？
由于攻击滥用合法的Windows协议，其隐蔽性使得检测极具挑战性，企业面临严重的安全风险。
如何设置ms-DS-MachineAccountQuota以防止攻击？
可以将ms-DS-MachineAccountQuota设置为0，以防止认证用户创建计算机账户，从而降低攻击风险。
