文章总结： 本文深入分析了CVE-2025-33073漏洞及其带来的一跳问题，揭示了传统网络防御模型的深层缺陷。该漏洞允许普通域用户在未开启SMB签名的成员服务器上获取SYSTEM权限，并结合非约束委派等配置，攻击者无需直接攻击域控制器即可完全控制整个域。文章强调，安全建设不仅要加固核心资产，更应审视并保护好那些能通往核心资产的关键路径系统。 综合评分： 90 文章分类： 漏洞分析,渗透测试,红队,WEB安全,网络安全

CVE-2025-33073与“一跳”问题：重新审视你的分层模型

幻泉之洲

2026年3月31日 17:01 北京

SMB签名的普及让大家以为域控制器很安全，但CVE-2025-33073打破了这种幻觉。这个漏洞让普通域用户也能在没开SMB签名的机器上拿到SYSTEM权限。更要命的是，结合非约束委派的老问题，攻击者可以隔山打牛，不经直接攻击域控，就拿到整个域。这暴露了传统分层防御模型的深层缺陷——我们只盯着“皇冠上的宝石”，却忘了看通向宝石的那条小路。

虚假的安全感

SMB签名在域控制器上早就是标配了。大部分Active Directory环境都这么干。但这个加固措施可能让人产生了错误的安全感。CVE-2025-33073改了游戏规则，它不再要求管理员权限，就能让攻击者通过非约束委派搞NTLM中继攻击，进而拿下整个域。

域控制器默认强制SMB签名，工作站和成员服务器则不。这个差距存在都超过十年了，很多企业也就默认接受了。

那个一直存在的缺口

对成员服务器发起中继攻击是可行的，但想利用起来需要特定条件：被中继的账户在目标机器上得有特权，而且最容易诱导出来的机器账户认证，通常并不能直接拿到本地管理员权限。

CVE-2025-33073改变了这一切，它移除了管理员权限这个前提。

RedTeam Pentesting和Synacktiv的研究人员在2025年6月披露了这个漏洞。它复活了NTLM反射攻击——这种攻击方式本来被认为已经基本被缓解了。漏洞利用了Windows处理DNS记录中封装的靶标信息的方式，攻击者可以欺骗SMB客户端，让它以为是本地认证。结果呢？能在任何没有开启SMB签名的域成员机器上，以SYSTEM权限执行远程代码。唯一的门槛就是网络访问权限和随便一个域用户的凭据。

最坏的情况其实很简单：一个没打补丁、也没开启SMB签名的域控制器。研究人员详细记录过这条攻击路径，所以，CVE-2025-33073能让你拿到域控制器的SYSTEM权限，然后离DCSync和拿下整个域就只有几步之遥了。但就算是那些已经给域控打了补丁，或者确认开启了SMB签名的企业，也不一定安全。这个漏洞对任何没开SMB签名的域成员系统都有效，而这些系统里，有些自己能提供通向域控的路径。

微软的“企业访问模型”，是近十年前首次发布的AD管理分层模型的演进版，它为保护特权资产提供了清晰的指导。企业把系统分成几层：Tier 0放身份基础设施（比如域控），Tier 1放企业级服务器，Tier2放工作站，然后相应地应用控制措施。域控在Tier0，这里享受着最严格的策略、最多的监控，安全检查时也最受关注。

“一跳”问题

这种以资产为中心的思路，直觉上很合理：识别出皇冠上的宝石，在周围筑起高墙，然后监控大门。但它有个微妙的缺陷：它关注的是Tier0是什么，而不是攻击者如何到达Tier0。

有意思的是，企业访问模型自己也承认了这个局限。它给出的指导原则里有一条在实践中常常被忽略：“任何能够管理更高层级Tier的系统或用户账户，其自身也应被视为该Tier的成员，无论最初是否这样设计。”文档里用虚拟化作为典型例子：一个能够给域控做快照的超管，可以提取凭证材料，这使得这台宿主机实际上就是Tier 0，不管企业怎么给它分类。

同样的逻辑适用于很多这类系统。我们管它们叫“一跳”系统：拿下它，你就离拿到整个王国的钥匙只差一步。

理解“一跳”系统

在Active Directory里，最常见、也最危险的“一跳”配置之一，恐怕就是非约束委派了。被配置为非约束委派的系统，会缓存一份任何向其认证的主体的“票据授予票据”，这个设计可以追溯到Windows 2000。攻击者如果利用CVE-2025-33073拿到这样一台主机的SYSTEM权限，就能诱导域控制器向它认证，捕获域控机器账户的TGT，然后用来执行DCSync操作。

这里的关键发现是：以上这一切，都不需要直接攻破域控制器本身。域控上的SMB签名可以防止针对它的中继攻击，但无法阻止当它被诱导时，向其他系统发起认证。TGT委托是协议的预期行为，这个安全缺陷是架构性的。CVE-2025-33073让这个已知弱点更加凸显。企业正确地加固了域控来防御中继攻击，却留下了那些可以诱导域控并捕获其凭据的系统没有打补丁。

拿下整个域

为了演示从一个低权限域用户到完全控制整个域的完整路径，我们用了Orange Cyberdefense的GOAD实验环境。MEEREEN是ESSOS.LOCAL的域控制器，BRAAVOS是我们配置了非约束委派的一台成员服务器，我们用的是一个普通域用户的凭据开始的。

攻击演示

第一步是找到那些配置了非约束委派，同时又没有开启SMB签名的系统。以前，要确认一个目标是否针对某个特定CVE打了补丁，需要那台机器的管理员权限。你得检查安装的KB补丁，读取注册表键值，或者用提权后的凭据跑漏洞扫描器。对于CVE-2025-33073，Depth Security的RelayKing工具解决了这个问题，它通过DCERPC查询“更新构建版本号”，普通域用户凭据就能访问。这让你能在不需要目标机器管理员权限的情况下，判断其补丁级别是否早于2025年6月的修复。一旦把这些主机列好了，我们就可以用findDelegation这样的工具，找出那些配置了非约束委派并且已有服务主体名称的系统。

具体来说，漏洞利用的方式是通过LDAP添加一个DNS记录，这个记录的主机名里包含了封装的靶标信息。任何通过认证的域用户都能干这事，因为这是AD集成DNS的默认权限。伪造的记录名遵循特定格式，会诱使目标的SMB客户端将产生的连接解释为本地认证。

现在，我们在一个非约束委派主机上拿到了SYSTEM权限。接下来用PrinterBug强制MEEREEN向BRAAVOS认证。当域控制器向一个受信任（用于非约束委派）的系统认证时，它的TGT会包含在认证过程中，并缓存在LSASS里。

这是关键点：域控制器上的SMB签名在这里毫无帮助。SMB签名防止的是对域控的中继攻击，它阻止不了域控在被诱导时向外认证。TGT委托是协议在设计上就允许的行为。

Rubeus工具，利用我们通过CVE-2025-33073拿到的SYSTEM权限运行，实时捕获了传入的TGT。[email protected]的票据带着“可转发”的标志来了——这是一张域控机器账户的被委派的TGT。

secretsdump.py的输出确认了完全控制整个域：krbtgt的NTLM哈希、AES-256密钥、AES-128密钥，还有DES密钥都被提取出来了。从这开始，为域里任何账户伪造黄金票据就轻而易举了。

如果一台有这个配置的成员服务器，就提供了一条直通域控的“一跳”路径，那最好的做法就是移除非约束委派。

但实际做起来，很少有这么简单。

为什么非约束委派还在用

非约束委派在Windows 2000和Server 2003时代是唯一可用的多跳Kerberos认证机制。一大堆企业应用程序的架构都是围绕它设计的，而且很多现在还在跑。那些比更新的委派扩展更早的业务线应用程序，往往没法在不做大量改造的情况下重新配置。供应商的部署指南里把非约束委派作为一个硬性要求（因为它普遍适用，而且经常能减少他们的支持负担），这使得修复变成了商业谈判，而不仅仅是技术改动。这些通常就是没人想碰的应用程序，连着没人想重启的系统。

非约束委派的风险至少在2015年就被理解了，那年肖恩·梅特卡夫在Black Hat上就讲过这个话题。CVE-2025-33073改变的是准入门槛。以前，利用非约束委派主机需要先拿到本地管理员权限，或者等着有特权的用户自己来认证。现在，任何有网络访问权限的域用户，都能在没有开启SMB签名、没打补丁的成员服务器上拿到SYSTEM权限，然后从那里，拿下整个域的路就走通了。

怎么办？

对于那些眼下没法移除非约束委派的企业，首要任务是减小爆炸半径。马上给CVE-2025-33073打补丁，优先处理那些配置了非约束委派的系统。在这些系统上启用SMB签名，这样就算没打补丁也能阻止中继攻击。把特权用户账户标记为“账户是敏感账户，不能被委派”，以防它们的TGT被缓存在委派主机上，再给它们加到“受保护用户”组里，获得额外保护。

除了这些缓解措施，还有其他纵深防御手段，可以在攻击链的不同环节实施干扰。在非约束委派系统上启用LSASS作为受保护进程轻量级运行，能增加一道有效的屏障；它不能阻止域控的TGT被缓存，但它能阻断凭据提取这一步，让攻击者即使拿到缓存的票据也用不了。在检测方面，CVE-2025-33073依赖于通过LDAP创建具有特定格式主机名的DNS记录。监控非管理员账户创建DNS记录的行为，以及监控设备向自身发起SMB认证的情况，能让防御者在任何票据被捕获之前，就洞察到攻击的早期阶段。

CVE-2025-33073带给我们的教训是双重的：加固域控制器很重要，域控制器上的SMB签名也依然必要，但如果只加固“皇冠上的宝石”，却没有加固通向宝石的路径，那等于就把门开在了离宝石一步之遥的地方。那些能够接触皇冠宝石的系统，本身就应该受到和皇冠宝石同级别的检视。

参考资料

• RedTeam Pentesting “The Reflective Kerberos Relay Attack” (https://blog.redteam-pentesting.de/2025/reflective-kerberos-relay-attack/)
• Synacktiv. “NTLM Reflection Is Dead, Long Live NTLM Reflection! An In-Depth Analysis of CVE-2025-33073” (https://www.synacktiv.com/en/publications/ntlm-reflection-is-dead-long-live-ntlm-reflection-an-in-depth-analysis-of-cve-2025)
• Microsoft – “Securing Privileged Access: Enterprise Access Model.” (https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-access-model)
• Dagmar Hagen (Microsoft) – “Protecting Tier 0 the Modern Way” (https://techcommunity.microsoft.com/blog/coreinfrastructureandsecurityblog/protecting-tier-0-the-modern-way/4052851)
• Orange Cyberdefense “GOAD – Game of Active Directory” (https://github.com/Orange-Cyberdefense/GOAD)
• Depth Security – “Introducing RelayKing – Relay to Royalty” (https://www.depthsecurity.com/blog/introducing-relayking-relay-to-royalty/)
• Depth Security – “Using NTLM Reflection to Own Active Directory (CVE-2025-33073)” (https://www.depthsecurity.com/blog/using-ntlm-reflection-to-own-active-directory/)
• Sean Metcalf – Domain Controller Print Server + Unconstrained Kerberos Delegation = Pwned Active Directory Forest (https://adsecurity.org/?p=4056)
• Sean Metcalf – Active Directory Security Risk #101: Kerberos Unconstrained Delegation (or How Compromise of a Single Server Can Compromise the Domain) (https://adsecurity.org/?p=1667)
• Microsoft – “CVE-2025-33073 – Windows SMB Client Elevation of Privilege Vulnerability” (https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-33073)

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：幻泉之洲 《CVE-2025-33073与“一跳”问题：重新审视你的分层模型》