企业官网建设流程全解析

为什么要单独聊"默认配置"

过去十几年做域渗透，有一个心照不宣的前提：Windows 出厂是不安全的，基线要靠管理员自己熬。PetitPotam、PrinterBug、DFSCoerce 这类 coercion 链能成气候，不是因为它们有多高明，而是因为 LDAP 不签名、机器账户密码等于机器名、Netlogon 匿名可调——这些都是"微软默认不拦、管理员多半也没配"的缝隙。

Windows Server 2025 的思路变了。微软把过去十几年靠 Security Baseline、靠 KB 补丁、靠管理员手搓 GPO 才补上的东西，直接焊进了新部署的默认行为里。安全基线项数也从域控角色的 319 项涨到 347 项（成员服务器 318→344，工作站 294→319）。这意味着你搭一个全新林，不用 CIS Benchmark，出来的就是一个"打过 Hardening 补丁"的域。

下面按攻击链的层次拆，每一条都对应到它堵死了哪条经典路径。

一、认证协议层：把 coercion 和中继的入口一个个焊死

1. LDAP 签名 / 绑定签名，新部署强制

Windows Server 2025 起，所有新建 AD 部署在 SASL 绑定之后默认要求 LDAP 签名与密封。这个默认由一条独立的、优先级更高的 GPO 控制：域控制器: LDAP 服务器签名要求强制执行。它和老的域控制器: LDAP 服务器签名要求是两回事——前者在没有显式配置时直接翻成"要求签名"，后者长期停在"无要求/协商"。

就地升级不强制：微软为了不炸老环境，升级时保留你已有的签名策略；只有当 DC 上压根没配过这条策略时，2025 才把它默认拉到"要求"。

攻击意义：这是 ntlmrelayx 打 LDAP 那条路的命门。PetitPotam、PrinterBug、DFSCoerce、ShadowCoerce 这一系列 coercion，最终都是诱导 DC 或服务器往攻击者控制的机器做 LDAP 认证，再由 ntlmrelayx relay 到 LDAP 写msDS-AllowedToActOnBehalfOfOtherIdentity（配约束委派 RBCD）或者改gMSA密码。只要 LDAP 这一侧要求签名，relay 过来的匿名/未签名会话直接被拒，整条 RBCD 链在默认环境下走不通。

2. LDAP 通道绑定 + 3074/3075 事件

通道绑定（Channel Binding）以前是个"开了就炸一片"的开关，2025 把审核事件 3074、3075 补齐，管理员可以先观察环境里哪些机器不支持 CBT，再切强制。这本身不是攻击面收缩，但它是把 LDAPS 中继这条路从"能不能做"变成"可观测、可逐步关"的前提。

3. 机密属性必须在加密连接上读写

这是一条容易被忽略但非常狠的默认：DC 和 AD LDS 现在只允许在连接加密的前提下，对"机密属性"做 add/search/modify。

机密属性名单里包含什么？unicodePwd、dBCSPwd、lmPwdHistory、ntPwdHistory，以及——现代环境里最值钱的——msLAPS-Password、msLAPS-EncryptedPassword这一堆 LAPS 相关字段。

攻击意义：以前你 relay 一个机器账户到 LDAP，哪怕不签名，只要能写属性，就能把 LAPS 密码读出来。现在未加密连接上，连碰这些字段的机会都没有。这同时把"relay LDAP 读 LAPS"和"裸 LDAP 拖密码哈希历史"两条副业端掉了。

4. KDC 不再发 RC4 TGT，Kerberos 加密类型收紧

KDC 默认不再发放 RC4-HMAC(NT) 加密的 TGT。同时老的注册表项HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters\SupportedEncryptionTypes被废弃，统一走 GPO网络安全: 配置 Kerberos 允许的加密类型。配合 2026 年 4 月补丁（CVE-2026-20833）推进的DefaultDomainSupportedEncTypes，DC 在没显式配置时默认只承认 AES。

攻击意义：Kerberoasting 的前提是拿到一个 RC4 服务票据——RC4 的 session key 离线爆破是可行的，AES-256 的 session key 以目前字典的现实程度基本不爆。TGT 都不发 RC4 了，意味着默认林里新签发的票据天然抗 Kerberoasting；历史上已经用 RC4 注册的服务账户，仍然要靠msDS-SupportedEncryptionTypes手动切到 AES。这不是"一升级就免疫 Kerberoasting"，但默认林的攻击难度上了一个数量级。

5. NTLMv1 协议移除 + SSO 凭证阻断时间表

NTLMv1 协议本身在 WS2025 里已经被移除。但 MS-CHAPv2（Wi-Fi/EAP/VPN）这类上层协议还会派生 NTLMv1 风格的凭证材料，所以微软加了新注册表项：

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\msv1_0 BlockNtlmv1SSO (REG_DWORD) 0 = 审计（默认，2025 年内） 1 = 强制阻断

节奏是：2025 年 8 月底客户端先上审计（事件 4024），2025 年 11 月 25 日开始推 Windows Server 2025，2026 年 10 月把默认值从 0 翻成 1（强制，事件 4025）。Credential Guard 开着的机器不受这条影响。

6. 旧 SAM RPC 密码修改接口默认阻断

这条是 coercion 生态的另一刀。DC 上远程调用下面这三个老接口默认直接拒绝：

• SamrChangePasswordUser
• SamrOemChangePasswordUser2
• SamrUnicodeChangePasswordUser2

新接口SamrUnicodeChangePasswordUser4（AES 保护）是唯一接受的路径。更狠的是：对"受保护用户"组里的域用户、以及域成员机器上的本地账户，连SamrUnicodeChangePasswordUser4都默认禁掉。

攻击意义： PetitPotam 的一个经典变种是把 DC 的机器账户密码改成攻击者知道的值，再用这个账户做 DCSync。那个改密动作走的就是 SamrRPC 老接口。默认环境下这条链被掐了。同理，OemChangePassword 那条给旧 SMB 客户端用的通道也关了。

7. Netlogon RPC 匿名调用收紧（KB5066014 / CVE-2025-49716）

打完 2025 年 8 月补丁后，DC 不再允许匿名客户端通过 Netlogon RPC 调一组与 DC 定位相关的请求。这直接影响 Samba 这类非微软成员加入域的兼容性，红队侧则意味着匿名枚举域内信息的一个老入口收窄。

二、传输与会话层：SMB 这一刀最深

SMB 是 2025 改动密度最高的子系统，几乎每一条都对着一个红队常用模块。

1. 所有 SMB 连接默认签名（不只是 SYSVOL/NETLOGON）

以前 WS2022 及更早，SMB 签名只在客户端访问 DC 的 SYSVOL/NETLOGON 时强制，其它共享可签可不签。2025 起，所有出站和入站 SMB 连接默认要求签名。

攻击意义：ntlmrelayx 打 SMB 的路直接废掉一半。Relay 到 SMB 本机拿不到 Shell、relay 到 LDAP 被上面第 1 条拦、relay 到 LDAPS 还要过通道绑定。Guest 回退（无需密码连共享）同时被禁。

2. SMB 身份验证速率限制器默认开

每次失败的 NTLM 或 Local KDC Kerberos 认证之后，SMB Server 强制加 2 秒延迟。微软自己给的算账：原来 5 分钟每秒 300 次猜测共 9 万次，现在要 50 小时。

攻击意义：SMB 端口爆破、密码喷洒的实际效用被砍到接近零。这是打在内网横向那个最朴素的手段上。

3. SMB 客户端可阻断 NTLM、可强制加密、可锁方言

三件套：

• Set-SmbClientConfiguration系列参数支持出站连接禁用 NTLM（包括按服务器白名单例外）；
• 客户端可以强制所有出站连接必须走 SMB 3.x + 加密；
• 方言协商可以锁死到 SMB 3.1.1，不跟 SMB 2.0.2~3.0.2 谈。

攻击意义：这是给管理员一条"把 NTLM 从环境里挤出去"的正路。一旦客户端侧 NTLM 被禁，SPNEGO 不会再降级到 NTLM， relay 和 PtH 在协议层就失去了原料。

4. 防火墙规则去掉 NetBIOS 137-139

新建 SMB 共享时，自动配的防火墙组从"文件和打印机共享"换成"文件和打印机共享（受限）"，不再放行入站 NetBIOS 端口 137-139。

攻击意义：Responder 在内网广播投毒那套，依赖的就是 NetBIOS Name Service 和 mailslot。端口面先收掉一层。

5. 远程 Mailslot 默认禁用

DC 定位协议里用来找域控的远程 mailslot，默认关。微软明说"缺乏任何认证或授权机制，不安全"，后续版本会直接删。

攻击意义：mailslot 欺骗、伪造 DC 响应这一类老手法在新环境里没了载体。

6. SMB over QUIC 全版本下放 + 客户端访问控制

以前只在 Azure Edition 里有的 SMB over QUIC，2025 全版本可用。它走 TLS 1.3 + 证书，不信任网络下不需要 VPN 就能连边缘文件服务器。配套的客户端访问控制要求客户端自带证书、在 allowlist 里才能握手。

这不是攻击面收缩，是"换了一条更安全的通道替代 SMB over TCP 在不可信网络上的位置"。

7. RRAS 默认不接 PPTP/L2TP

新装的路由和远程服务默认只收 SSTP 和 IKEv2，PPTP/L2TP 必须手动开。就地升级保留原配置。

三、凭证与账户层：把 lsass 和机器账户这两块底盘换了

1. Credential Guard 在符合硬件条件的机器上默认开

2025 起，满足 VBS 条件（Secure Boot、TPM、UEFI Lock 推荐）的机器，Credential Guard 默认启用。LSASS 里的 NTLM hash、Kerberos TGT、明文域凭证被隔离在 VBS 容器里，普通管理员和攻击者都读不出来。

攻击意义：Mimikatz、ProcDump 抓 lsass、PwDump7 这一套"拿到本地管理员就等于拿到域管票据"的传统路径，在默认配置下直接失效。PtH、PtT、OverPass-the-Hash 这一整族技术的前提是"能从 lsass 里挖出 hash/票据"，Credential Guard 把这个前提抽掉了。这是 2025 对红队工作流影响最大的一条。

注意它不是银弹：Credential Guard 不保护 WDigest 明文、不保护用 S4U2Self 申请的服务票据、不保护已经导出的 Golden Ticket。但"登录后随手抓 hash"这个动作，默认没了。

2. 机器账户默认密码随机化，禁止等于机器名

历史上有一个著名的默认：新加入域的机器账户，初始密码可以被设成机器名（去$符号），长度 14 位以内。Responder 在局域网里投毒，经常能钓出来这种"机器名 = 密码"的机器账户哈希，然后拿去 relay 或者 PtH。

2025 的 DC 默认：

• 机器账户密码改成随机生成；
• 显式阻止把机器账户密码设成机器账户名；
• ADAC/ADUC 不再允许创建"Windows 2000 之前"的兼容账户；
• net computer、dsmod等老工具同步遵循这个行为。

要放开得手动去 GPO 关拒绝设置默认计算机账户密码。

攻击意义：Responder 在新林里的产出价值大幅下降。这同时端掉了一类"用已知机器账户密码做 DCSync"的历史 trick。

3. LAPS 原生进 AD，加了三个新能力

Windows LAPS 从 2025 开始是 OS 自带组件（不需要再下 MSI 安装包）。新增：

• 自动本地账户管理（可随机化本地管理员名）；
• 镜像回滚检测：新属性msLAPS-CurrentPasswordVersion存一个 GUID，每次写密码时更新；客户端每轮比对，发现不一致立刻轮换——防止有人用一个老镜像快照还原后复用旧 LAPS 密码；
• PAA（身份验证后动作）扩展：登录后不仅改密码、注销，还能把这个账户下挂的所有进程一并杀掉。

攻击意义：LAPS 的普及本身就是对"一台机器本地管理员密码 = 整个内网横向跳板"的结构性否定。回滚检测堵的是"打快照还原后凭据复用"这条红队常用小技巧。

4. 委派托管服务账户（dMSA）

新账户类型，用来把传统人工管理的服务账户（普通域用户/服务账户）平滑迁移到托管形态。密钥由系统随机生成并托管，禁用原账户密码时应用改动最小。这是继续往 gMSA/managed identity 方向推，减少长期静态密码的服务账户。

四、对照：默认环境下，哪些攻击向量被实质性削弱

按红队常用手法归个类：

五、新增/变化的攻击面与运维点

说"2025 全是加固"也不客观，有几处是新的面，红队和运维都要知道：

1. OpenSSH Server 默认安装。这是 WS2025 第一次把 OpenSSH 服务端做成默认组件。意味着 22 端口在新 DC 上可能直接就在跑，SSH 密钥管理、管理员误用密码登录，会变成新的运维审计项。
2. LDAP over TLS 1.3。TLS 1.3 本身没攻击面，但 Schannel 实现和老的 LDAPS 客户端（特别是 .NET Framework 老版本、自研 Java/LDAP 工具）的兼容性要测。
3. SMB over QUIC 在所有版本可用。如果开了，443/UDP 是新的暴露面，证书颁发链和客户端访问 ACL 要管好，别又配成"任何能链到 CA 的客户端都能连"。
4. 新的审计日志面变大了。NTLM Operational 日志（4024/4025）、SMBClient Audit（31998/31999）、SMBServer Audit（3021/3022）、LDAP 3074/3075。这些既是 defender 的宝藏，也是红队要先于防守方摸清的噪声源——做行动前先想清楚你会在哪个日志里留下记录。
5. 32K 数据库页是可选的新功能，不影响安全，但要求林功能级别提到 10，迁移是林范围动作，别在没备份时手贱。

六、升级和排障要踩的坑

1. 就地升级不重置你已有的 GPO。这是微软的善意，也是陷阱：你从 WS2022 升上来的 DC，LDAP 签名策略如果之前是"协商"，升级完还是"协商"，不会自动变成"要求"。要享受 2025 的默认收紧，要么搭新林迁移，要么手动把那批"以前没配过"的策略按 2025 的默认值拉一遍。
2. LDAP 签名相关故障，看事件 2886/2887/2888；Kerberos 加密不匹配，看 4768（TGT 请求）和 4769（服务票据请求），对比客户端 advertised etypes、账户msDS-SupportedEncryptionTypes、KDC 处理结果。
3. NTLMv1 阻断在 2026 年 10 月会从审计翻强制。现在就该去翻Microsoft-Windows-NTLM/Operational里的 4024，把还在派生 NTLMv1 凭证的 MS-CHAPv2 Wi-Fi/VPN 配置换掉。
4. Samba 成员机、老的 Linux 文件服务器、老的打印服务，会被 Netlogon RPC 收紧和 SMB 签名默认两条同时打到。升级前先在测试林里把这一类异构客户端列出来。
5. Credential Guard 不是想关就能随手关的：UEFI Lock 开了之后，注册表改不动，得进 BIOS 关 VBS。排故障时别第一反应就是关 CG。

结语

WS2025 对 AD 的改造，本质是微软把过去二十年渗透社区攒出来的那套"默认环境下的标准打法"——LDAP relay、机器账户投毒、RC4 爆破、lsass 抓 hash、SMB 暴力——在出厂状态下一条条堵上。它没让域渗透变不可能，但它把"拿到一个内网 foothold 之后顺理成章横向到 DC"那条最短路径，从默认配置里抽掉了。

对防守方，升级时真正的工作量不在 OS 本身，而在异构客户端盘点、老服务账户加密类型迁移、LAPS 铺开、审计日志接入 SIEM。对红队，2025 之后的域渗透更依赖：应用层漏洞（Exchange、ADCS ESC 系列、SQL Server）、配置错误（过度委派、ACL 滥用）、以及能绕过 Credential Guard 的高阶手法（S4U、信任滥用、基于资源的约束委派在特定条件下仍可做）。那些"一个脚本打穿整个域"的好日子，在新部署的默认林里，基本结束了。