绕过SMB强制签名执行反射攻击
简介 在信息安全领域，已修复漏洞的再次出现是一个持续存在的挑战。 本文在对 Active Directory 环境中的中继攻击进行深入研究时，发现了一种新型的反射式 Kerberos 中继攻击。自微软发布 MS08-068 补丁以阻止 NTLM 消息被中继回源主机后，类似的反射攻击被认为已得到有效缓解。然而，我们的研究证实，通过将攻击向量从 NTLM 转向 Kerberos，可以绕过这一经典防护机制。 研究表明，若攻击者能强制任意 Windows 主机通过 SMB 向其发起 Kerberos 身份验证，便可截获并中继该主机的计算机账户票证，攻击主机自身的服务，最终利用一个提权漏洞获得 NT AUTHORITYSYSTEM 级别的特权，并实现远程代码执行 (RCE)。 要了解该反射攻击我们首先需要了解 CVE-2025-33073 – 反射型 Kerberos 中继攻击漏洞。 反射型 Kerberos 中继攻击 2025年1月，RedTeam Pentesting 在一次深入研究中，偶然发现了一个潜藏在 Kerberos 认证机制中的严重漏洞——命名为“反射式 Kerberos 中继攻击”，并获得了CVE编号CVE-2025-33073。在将详尽的白皮书提交给微软后，官方已于2025年6月10日发布了修复程序。 攻击的起点非常经典：我们强制一台 Windows 主机通过 SMB 连接到我们的攻击系统，并使用 Kerberos 进行身份验证。按照传统的中继攻击逻辑，当我们把这枚 Kerberos 票证再“反射”回主机自身时，我们本以为最多只能拿到一个普通的计算机账户会话。但一个惊人的结果出现了——我们建立的 SMB 会话，其权限竟然直接跃升至 NT AUTHORITYSYSTEM。这个意料之外的权限提升，将一个看似普通的认证中继，变成了一把能够执行任意命令、完全控制系统的钥匙。…