底層修復(fù)邏輯的核心是阻斷反射式Kerberos中繼攻擊的利用鏈，而非直接修改NTLM認(rèn)證流程或強(qiáng)制SMBv3簽名（盡管后者是緩解措施）。微軟通過以下機(jī)制實(shí)現(xiàn)修復(fù)：

1、協(xié)議層改進(jìn)：Kerberos本地環(huán)回保護(hù)的強(qiáng)化

問題根源：漏洞利用Kerberos缺乏類似NTLM的反射攻擊防護(hù)（MS08-068）。攻擊者通過技巧誘使主機(jī)向自身發(fā)起SMB連接，并中繼Kerberos票據(jù)回同一主機(jī)。系統(tǒng)錯誤地將低權(quán)限計算機(jī)賬戶票據(jù)與高權(quán)限令牌關(guān)聯(lián)，導(dǎo)致權(quán)限提升。

CredUnmarshalTargetInfo

SYSTEM

修復(fù)邏輯

• 令牌完整性強(qiáng)制驗(yàn)證

在內(nèi)核層增加進(jìn)程令牌與Kerberos票據(jù)的綁定驗(yàn)證。當(dāng)檢測到環(huán)回認(rèn)證（SPN指向自身）時，拒絕復(fù)用高權(quán)限令牌，而是創(chuàng)建新會話令牌并嚴(yán)格匹配票據(jù)的原始權(quán)限級別（如計算機(jī)賬戶的有限權(quán)限）。

引用: Windows內(nèi)核新增進(jìn)程令牌完整性檢查，實(shí)時阻斷令牌濫用。

• 授權(quán)數(shù)據(jù)（KERB_AD_RESTRICTION_ENTRY）增強(qiáng)

修復(fù)前，系統(tǒng)因SPN指向主機(jī)名而誤判為“合法環(huán)回”，并錯誤繼承令牌。補(bǔ)丁修改了授權(quán)數(shù)據(jù)處理邏輯，要求票據(jù)中的結(jié)構(gòu)必須明確匹配進(jìn)程的原始安全上下文，否則拒絕會話建立。

SYSTEM

KERB_LOCAL

2、SMBv3簽名強(qiáng)制的策略調(diào)整（緩解→默認(rèn)啟用）

問題關(guān)聯(lián)性：漏洞依賴未簽名的SMB連接實(shí)現(xiàn)中繼攻擊。

修復(fù)邏輯

• 服務(wù)器端簽名策略升級

在補(bǔ)丁中，微軟未修改協(xié)議層簽名算法，但通過組策略和注冊表默認(rèn)值調(diào)整，強(qiáng)制要求所有域內(nèi)主機(jī)的傳入SMB連接必須簽名

• 組策略：默認(rèn)設(shè)為“啟用”。
• Microsoft網(wǎng)絡(luò)服務(wù)器: 始終數(shù)字簽名通信
• 注冊表鍵：
• HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanManServer\Parameters\RequireSecuritySignature=1

引用: 強(qiáng)制執(zhí)行服務(wù)器端SMB簽名可阻斷中繼攻擊向量。

• 客戶端兼容性處理

為避免影響舊客戶端，補(bǔ)丁引入例外機(jī)制：若客戶端不支持SMB簽名（如老舊設(shè)備），需顯式配置允許非簽名訪問。

3、NTLM認(rèn)證流程未修改的原因

關(guān)鍵結(jié)論修復(fù)未修改NTLM流程，原因如下：

• 漏洞本質(zhì)是Kerberos的反射攻擊缺陷，與NTLM無關(guān)。NTLM早已通過MS08-068修補(bǔ)反射攻擊。
• 攻擊鏈中NTLM僅作為備用認(rèn)證機(jī)制：當(dāng)Kerberos失敗時可能回退至NTLM，但漏洞利用不依賴此流程。
• 微軟長期策略是淘汰NTLM，故優(yōu)先加固Kerberos而非修改舊協(xié)議。

4、防御縱深的補(bǔ)充措施

• 安全協(xié)商強(qiáng)化（SMB3.1.1+）

補(bǔ)丁要求啟用，通過簽名IOCTL（）驗(yàn)證原始協(xié)商參數(shù)，防止中間人降級攻擊。

RequireSecureNegotiate

FSCTL_VALIDATE_NEGOTIATE_INFO

• 服務(wù)主體名稱（SPN）驗(yàn)證

增加對異常SPN注冊的檢測（如攻擊者偽造指向自身的SPN），阻止惡意票據(jù)生成。

修復(fù)方案的技術(shù)意義

根本矛盾解決：修復(fù)針對Kerberos在環(huán)回場景的令牌管理缺陷（而非協(xié)議設(shè)計漏洞），通過內(nèi)核層令牌綁定和策略強(qiáng)制消除權(quán)限錯位。

總結(jié)

CVE-2025-33073的修復(fù)邏輯是多層次防御

1. 協(xié)議層：強(qiáng)化Kerberos本地環(huán)回的令牌驗(yàn)證邏輯，消除權(quán)限繼承漏洞；
2. 配置層：默認(rèn)啟用服務(wù)器端SMB簽名，阻斷中繼攻擊傳遞；
3. 架構(gòu)層：依賴安全協(xié)商和SPN校驗(yàn)增加攻擊成本。

NTLM未修改因其非漏洞根源，且微軟聚焦Kerberos加固以推動NTLM淘汰。管理員應(yīng)優(yōu)先安裝補(bǔ)丁并啟用SMB簽名，而非僅依賴協(xié)議調(diào)整。