Windows系统本地NTLM重放提权漏洞安全风险深度解析

近期安全部门分析发现，利用NTLM重放机制入侵Windows系统的攻击事件显著增加。攻击者通常借助Potato这类工具，针对拥有SYSTEM权限的端口发起攻击，通过伪造网络身份认证过程，再利用NTLM重放机制窃取SYSTEM身份令牌，从而获取系统完全控制权。值得注意的是，微软并未将此视为安全漏洞，因此不会发布官方修复补丁。为保障服务器安全，建议采取以下调整措施：

1、关闭DCOM功能

下面详细列出关闭DCOM的步骤，适用于Windows 2008/2012/2016/2019等系统。

打开 控制面板 → 管理工具 → 组件服务。

依次展开 组件服务 → 计算机，右键点击 我的电脑，选择 属性。

切换到 默认属性 选项卡，取消勾选“在此计算机上启用分布式COM”，点击确定即可完成设置。

建议所有使用Windows的系统都关闭此功能，以有效降低被攻击入侵的风险。当然，你也可以直接在命令行中执行：reg add HKLM\SOFTWARE\Microsoft\Ole /v EnableDCOM /t REG_SZ /d N /f，一步到位。

2、如果使用IIS，建议删除IIS6管理兼容

在服务器管理器中找到 角色服务 → 删除角色和功能。

按照上图所示步骤操作即可完成。

Potato – 本地特权提升工具

Potato是一款本地特权提升工具，能够将权限从Windows服务账户直接提升至NT AUTHORITY\SYSTEM。只要用户拥有SeImpersonate或SeAssignPrimaryToken权限，便可利用该工具获取SYSTEM令牌。

它的工作原理颇具特色：Potato首先充当中间人角色，然后设法触发Windows更新机制（或等待系统定时检查更新）。系统更新服务会以高权限客户端身份发起HTTP请求，Potato在中间拦截响应，重定向并要求客户端进行身份认证。接着，它将认证数据转发给系统的RPC服务，迫使RPC服务误认为Potato是高权限客户端，从而完成权限提升。

简要分析Potato的不足之处：

在Windows 7环境下，Potato可利用Windows Defender的更新机制实现即时提权。但在其他系统环境中，第一阶段会采用NBNS Spoofer技术，快速发送大量数据包，实测发现该过程较为消耗CPU资源，且需要较长的等待时间。目前尚未测试该过程是否会影响主机正常访问网络——毕竟部分网络数据被发送到了127.0.0.1:80。

至于Potato的具体代码实现，此处不再深入讨论。该工具完全可以转换为其他语言编写，摆脱对.NET框架的依赖，从而扩大其适用范围。