新型Windows RPC攻击可劫持服务并完全攻陷Active Directory，PoC已公开
内容提要
安全研究员发现Windows RPC协议存在CVE-2025-49760漏洞，攻击者可劫持服务并窃取机器账户凭据，导致Active Directory完全沦陷。微软已发布补丁，建议监控可疑接口注册。
关键要点
-
安全研究员发现Windows RPC协议存在CVE-2025-49760漏洞，攻击者可劫持服务并窃取机器账户凭据。
-
该漏洞允许低权限用户伪装成知名RPC服务器，攻击者可在合法服务之前注册恶意接口。
-
攻击工具RPC-Racer能够检测不安全的RPC服务并拦截高权限进程的连接。
-
攻击链通过诱骗高权限服务连接到攻击者端点，获取机器账户凭据，实现Active Directory完全沦陷。
-
微软已发布补丁，修复存储服务RPC客户端以确保安全连接。
-
建议监控RpcEpRegister调用，检测可疑接口注册，并应用微软补丁。
延伸解读
漏洞影响与风险
CVE-2025-49760漏洞的存在使得低权限用户能够伪装成合法RPC服务器，进而劫持服务并窃取机器账户凭据。这种攻击方式不仅影响单一系统，还可能导致整个Active Directory的沦陷，给企业带来严重的安全隐患。未及时更新补丁的系统尤其容易受到攻击，企业需高度重视此漏洞的潜在风险。
监控与防范措施
为了防范CVE-2025-49760漏洞带来的风险，企业应加强对RpcEpRegister调用的监控，及时识别可疑接口注册。此外，利用Windows事件追踪工具监控RPC连接情况，可以帮助发现未知进程的异常行为。及时应用微软发布的补丁是确保系统安全的关键步骤。
攻击工具的作用
研究员开发的RPC-Racer工具能够有效检测不安全的RPC服务并拦截高权限进程的连接。这一工具的出现为安全研究和防御提供了新的思路，企业可以考虑使用类似工具进行安全评估，提前识别潜在的安全漏洞，增强系统的防护能力。
延伸问答
CVE-2025-49760漏洞的主要风险是什么？
该漏洞允许攻击者劫持RPC服务并窃取机器账户凭据，导致Active Directory完全沦陷。
攻击者如何利用CVE-2025-49760漏洞进行攻击？
攻击者可以伪装成知名RPC服务器，注册恶意接口，从而劫持合法服务的连接。
微软针对CVE-2025-49760漏洞发布了什么修复措施？
微软发布了补丁，修改了存储服务RPC客户端以确保安全连接。
RPC-Racer工具的功能是什么？
RPC-Racer能够检测不安全的RPC服务，注册恶意接口并拦截高权限进程的连接。
如何监控CVE-2025-49760漏洞的可疑活动？
建议监控RpcEpRegister调用，检测可疑接口注册，并利用Windows事件追踪识别未知进程。
该漏洞的攻击链是如何实现的？
攻击链通过诱骗高权限服务连接到攻击者端点，获取机器账户凭据，最终实现Active Directory的完全控制。
