Windows Server 2025 黄金dMSA攻击漏洞：跨域攻击与持久化访问风险分析
内容提要
网络安全研究人员发现Windows Server 2025中的委托管理服务账户存在设计缺陷，攻击者可利用该漏洞获取Active Directory中所有托管服务账户的访问权限，实施跨域攻击。此漏洞简化了密码破解过程，攻击者需先获取密钥分发服务根密钥，可能导致企业级安全威胁和持久后门。微软对此漏洞的回应未能有效防范域控制器被入侵。
延伸解读
黄金dMSA攻击的潜在影响
黄金dMSA攻击不仅可以导致单个域的安全漏洞，还可能扩展到整个企业林，形成持久的后门。攻击者一旦获取KDS根密钥，就能轻松访问所有托管服务账户，进而实施跨域攻击，影响企业的整体安全架构。
攻击复杂度与防范措施
尽管黄金dMSA攻击的复杂度较低，但企业仍需重视KDS根密钥的保护。传统的凭据保护机制未能有效防范此类攻击，企业应考虑加强对特权账户的管理和监控，以降低潜在风险。
微软的应对措施与局限性
微软对黄金dMSA漏洞的回应显示出其设计上的局限性，未能有效防止域控制器被入侵。企业在使用Windows Server 2025时，应关注微软的后续补丁和更新，以及时修复潜在的安全隐患。
Q&A
黄金dMSA攻击的主要风险是什么？
黄金dMSA攻击可能导致攻击者获取Active Directory中所有托管服务账户的访问权限，形成持久后门，影响整个企业的安全。
攻击者如何利用黄金dMSA漏洞？
攻击者需获取KDS根密钥，然后通过提取、枚举和生成密码等步骤，绕过身份验证机制，获取dMSA和gMSA账户的访问权限。
微软对黄金dMSA漏洞的回应是什么？
微软表示，如果攻击者拥有用于派生密钥的机密信息，就能以该用户身份进行验证，但这些功能并未设计用于防范域控制器被入侵的情况。
黄金dMSA攻击如何影响企业的安全架构？
该攻击可导致跨域账户入侵和全林凭据收集，形成企业级的数字统治，威胁整个企业的安全架构。
黄金dMSA攻击的复杂度如何？
攻击复杂度较低，因为该漏洞简化了密码生成过程，攻击者只需获取KDS根密钥即可进行攻击。
委托管理服务账户的设计初衷是什么？
委托管理服务账户旨在替代传统服务账户，防范Kerberoasting攻击，确保只有授权机器才能访问账户。
