域控服务器 安全日志保留多久_漏洞预警 | Windows NTLM认证漏洞安全预警

预XFSEC-2019-05

2019年6月11日，微软官方在6月的补丁中发布了漏洞CVE-2019-1040的安全补丁。通过这种攻击能使攻击者在仅有一个普通域账号的情况下可远程控制Windows域内的任何机器，包括域控服务器，危害较大。XFSEC团队提醒用户和企业采取必要防御应对措施。

Vul.01漏洞描述

该漏洞成因在于Microsoft服务器并不验证'msvAvFlag'字段，即服务器允许无MIC的NTLM_AUTHENTICATE消息，这使得不强制执行签名的服务器容易受到中间人攻击，当中间人攻击者能够成功绕过NTLM MIC(消息完整性检查)保护时，攻击者可以修改NTLM身份验证流程中的签名要求，完全删除签名验证，并尝试中继到目标服务器，不强制执行签名的服务器都易受到攻击。

Vul.02影响范围

• Windows 10 for 32-bit Systems

• Windows 10 for x64-based Systems

• Windows 10 Version 1607 for 32-bit Systems

• Windows 10 Version 1607 for x64-based Systems

• Windows 10 Version 1703 for 32-bit Systems

• Windows 10 Version 1703 for x64-based Systems

• Windows 10 Version 1709 for 32-bit Systems

• Windows 10 Version 1709 for ARM64-bas