英文站 - English

Windows系统安全风险-本地NTLM重放提权

经我司安全部门研究分析,近期利用NTLM重放机制入侵Windows 系统事件增多,入侵者主要通过Potato程序攻击拥有SYSTEM权限的端口伪造网络身份认证过程,利用NTLM重放机制骗取SYSTEM身份令牌,最终取得系统权限,该安全风险微软并不认为存在漏洞,所以不会进行修复,为了您的服务器安全,我们建议您进行一下安全调整:

1、关闭DCOM功能
下面列出关闭DCOM步骤win2008/2012/2016/2019均适用

打开 控制面板->管理工具->组件服务

展开 组件服务-计算机 ,右击 我的电脑  选择 属性

image.png


点击 默认属性选项卡,取消勾选在此计算机上启用分布式COM”的,再确定即可

image.png




建议使用windows的都关闭此项以减小被入侵风险。
您也可以直接在命令行执行 reg add HKLM\SOFTWARE\Microsoft\Ole /v EnableDCOM /t REG_SZ /d N /f 进行关闭。

2、如果在使用iis,建议删除IIS中的IIS6管理兼容
服务器管理-管理-删除角色和功能
image.png

取消iis6管理兼容的所有勾选
image.png





提权案例: https://mp.weixin.qq.com/s/qxCoQ9Zne6CibRbJMURiFA     请务必重视做好安全设置


编辑:西部数码
日期:2020-12-04

收藏 】 【 打印 】   
上一篇:FSS对象存储挂载到我司windows云服务器操作方法
下一篇:IIS 7、8启用nginx代理后日志中获取访客真实IP方法
若文档内容对您没有帮助,不能解决问题? 您还可以 咨询在线客服提交工单,我们将竭诚为您服务。
  >> 相关文章
 
商标注册,低至280元 镜像共享,就用镜像市场 高防云服务器 企业邮箱 全新登场 1G云虚拟主机 188元/年
分享至:
Top

24小时客服热线

400-028-5800

028-62778877

您好,非正常上班时间若有紧急技术问题,请拨总机后按7号键, 其他问题请提交工单或在上班时间联系,谢谢支持!