安全公司曼迪昂特（Mandiant）近日公开发布了一套针对 NTLMv1 认证协议的彩虹表（Rainbow Table），使得任何使用该过时哈希算法保护的 Windows 管理员密码，均可在 12 小时内被恢复——所需硬件成本不足 600 美元。
这一举措并非为了助长攻击，而是向仍依赖 NTLMv1 的组织发出明确警告：继续使用这一已被废弃二十余年的认证机制，等同于主动为攻击者敞开大门。
什么是 NTLMv1？为何如此危险？
NTLMv1（NT LAN Manager version 1）是微软在 1980 年代随 OS/2 引入的身份验证协议。早在 1999 年，密码学家布鲁斯·施奈尔（Bruce Schneier）等人就已指出其设计存在根本性缺陷。1998 年，微软在 Windows NT SP4 中推出更安全的 NTLMv2，正式替代前者。
然而，二十多年过去，NTLMv1 仍在部分企业网络中运行——尤其在医疗、工业控制等依赖老旧系统的行业。原因包括：
- 遗留应用程序无法兼容新协议；
- 关键业务系统难以承受迁移所需的停机时间；
- 以及最常见也最危险的因素：惰性与侥幸心理。
NTLMv1 的密钥空间极小，且其 Net-NTLM 哈希（用于 SMB 网络共享等场景的身份验证）可通过“已知明文挑战”进行高效破解。攻击者只需捕获一次认证流量，即可离线暴力破解密码。
曼迪昂特的“防御性武器”
曼迪昂特此次发布的彩虹表，托管于 Google Cloud，专为 Net-NTLMv1 设计。它利用固定挑战值 "1122334455667788" 预先计算了大量可能密码对应的哈希结果。由于该挑战值在实际攻击中常被强制使用（通过 Responder、PetitPotam 或 DFSCoerce 等工具），攻击者可直接将捕获的哈希与彩虹表比对，快速还原明文密码。
过去，此类破解要么依赖昂贵的 GPU 集群，要么需将敏感哈希上传至第三方在线服务——既慢又不安全。如今，普通安全人员仅需一台消费级电脑，12 小时内即可完成破解。
曼迪昂特明确表示：“发布这些表格，是为了降低安全团队向管理层证明 NTLMv1 风险的门槛。”一位信息安全从业者在 Mastodon 上评论道：“我曾多次不得不把写着高管密码的纸条放在他们桌上，才能推动系统升级。这类工具的价值，不在于攻击者是否已有，而在于它能成为说服决策者的‘证据’。”
微软终于行动，但为时已晚？
尽管 NTLMv1 的风险早已广为人知，微软直到 2025 年 8 月才正式宣布计划弃用该协议。而在此前的渗透测试中，曼迪昂特的顾问仍频繁在活跃生产环境中发现其身影。
“这种遗留协议使组织极易遭受凭据窃取，”曼迪昂特指出，“但由于缺乏‘已证实的直接损失’，许多机构选择视而不见。”
行动建议：立即禁用
曼迪昂特在公告中提供了禁用 NTLMv1 的基本步骤，并链接至微软官方指南。核心措施包括：
- 在组策略中禁用 NTLMv1 认证；
- 强制使用 Kerberos 或 NTLMv2；
- 审计网络中仍在使用 NTLM 的服务与应用。
0条评论