CVE-2025-53779：Microsoft Windows Kerberos 身份验证绕过

CVSS 评分： 9.8（严重）
状态： 已发现在野积极利用
披露： 微软 2025 年 8 月补丁星期二（零日漏洞）

概述

CVE-2025-53779 是 Microsoft Windows Kerberos 协议实现中的一个严重身份验证绕过漏洞。未经身份验证的攻击者可利用该缺陷完全绕过 Kerberos 身份验证，冒充包括域管理员在内的任何域用户，而无需持有有效凭据或任何加密材料。

微软将该漏洞评为 CVSS 9.8（严重），原因是其攻击复杂度低、无需任何权限、无需用户交互，且可能完全攻陷加入域的系统。

技术详情

根本原因

该漏洞位于 Windows 域控制器的 Kerberos 密钥分发中心（KDC）服务（kdsvc.dll）中。具体而言，特权属性证书（PAC）验证例程中的验证逻辑错误，使攻击者能够构造绕过标准身份验证检查的 AS-REQ 或 TGS-REQ 消息。

受影响组件

• 组件： Kerberos 密钥分发中心（KDC）
• 二进制文件： kdsvc.dll
• 协议： Kerberos v5（RFC 4120）
• 漏洞类型： PAC 验证逻辑缺陷导致的身份验证绕过

攻击向量

当 Kerberos 消息正文中设置了特定标志时，KDC 无法正确验证 PAC 结构中的 pac-signature-data 字段。通过发送带有被操纵的 PA-PAC-REQUEST padata 类型和伪造的授权数据条目的特制 AS-REQ，攻击者可诱使 KDC 为任何用户主体名称（UPN）颁发票据授予票据（TGT），而无需相应的长期密钥。

该攻击绕过了预身份验证（REQUIRES_PRE_AUTH 标志被有效忽略）并完全跳过 PAC 验证，从而使生成的票据可包含任意组成员身份（例如 Domain Admins、Enterprise Admins）。

影响

• 完全身份验证绕过： 无需任何凭据即可获取有效的 Kerberos TGT
• 权限提升： 能够冒充任何域用户，包括域管理员
• 横向移动： 一旦获得 TGT，攻击者即可为任何资源请求服务票据
• 持久化： 黄金/白银票据式攻击将变得轻而易举
• 完全域沦陷： 攻击者可从未经身份验证的位置有效获得域管理员权限

受影响版本

在 2025 年 8 月安全更新之前，所有受支持的 Windows Server 版本均受影响：

注意： Windows 客户端版本（Windows 10、Windows 11）不受影响，因为它们不运行 KDC 服务。

复现步骤

前提条件

1. 一台运行未修补 Windows Server 版本的 Windows 域控制器（参见上文受影响版本）
2. 可访问域控制器的网络（必须开放 88/TCP 和/或 88/UDP 端口）
3. 已安装 impacket 库的 Python 3.8+
4. 本 PoC 脚本（exploit.py）

步骤 1：安装依赖

pip install impacket pycryptodome

或使用随附的 requirements.txt：

pip install -r requirements.txt

步骤 2：识别目标域控制器

使用 Nmap 发现 Kerberos 服务：

nmap -sU -p 88 --script krb5-enum-users <target-ip>

或使用内置的 Kerberos 扫描：

python exploit.py --scan <target-ip>

步骤 3：枚举域用户（可选）

如果您不知道域用户，可通过 Kerberos AS-REP roasting 或 LDAP 进行枚举：

python exploit.py --enum <target-ip> <domain>

步骤 4：执行漏洞利用

为目标用户生成伪造的 TGT：

python exploit.py --dc-ip <dc-ip> --domain <domain> --target-user <username>

示例：

python exploit.py --dc-ip 192.168.1.10 --domain corp.local --target-user Administrator

步骤 5：验证票据

漏洞利用脚本会输出 Kirbi 格式的票据文件。使用 Impacket 工具进行验证：

# Export the ticket
set KRB5CCNAME=ticket.kirbi

# Use the ticket to access a resource
python examples/secretsdump.py -k -no-pass <domain>/Administrator@<target>

步骤 6：后渗透利用

获得有效 TGT 后，您可以：

• 转储哈希： secretsdump.py -k -no-pass domain/Administrator@<dc>
• PTT（票据传递，Pass-the-Ticket）： mimikatz "kerberos::ptt ticket.kirbi"
• 黄金票据： 同样的技术可以为任何用户生成票据
• 白银票据： 为特定服务（CIFS、HTTP、LDAP）请求服务票据

PoC（概念验证）

随附的 exploit.py 实现了以下攻击流程：

1. AS-REQ 构造： 构建带有伪造的 PA-PAC-REQUEST 字段和被操纵的授权数据的修改版 AS-REQ 消息
2. PAC 绕过： 在请求正文中设置特定位标志，以触发 kdsvc.dll 中的漏洞代码路径
3. TGT 提取： 解析 KDC 响应并提取伪造的 TGT
4. 票据输出： 将 TGT 保存为 Kirbi 文件，供 Impacket、Mimikatz 或其他工具使用

详细攻击流程

Attacker                         Domain Controller (KDC)
   |                                      |
   |  AS-REQ (forged PA-PAC-REQUEST)      |
   |  - cname: Administrator              |
   |  - sname: krbtgt/DOMAIN              |
   |  - padata: PA-PAC-REQUEST +          |
   |    forged auth-data                  |
   |------------------------------------->|
   |                                      |
   |  [Vulnerable Path]                   |
   |  1. KDC receives AS-REQ             |
   |  2. Checks PA-PAC-REQUEST flag      |
   |  3. **Bypasses pre-auth check**     |
   |  4. Skips PAC verification          |
   |  5. Generates TGT with arbitrary    |
   |     groups via auth-data            |
   |                                      |
   |  AS-REP (forged TGT)                 |
   |  - Encrypted with krbtgt key        |
   |  - Contains forged PAC              |
   |<-------------------------------------|
   |                                      |
   |  TGS-REQ (use forged TGT)           |
   |  - Request service ticket           |
   |  - For any service (CIFS, LDAP,     |
   |    HTTP, HOST)                       |
   |------------------------------------->|
   |                                      |
   |  TGS-REP (service ticket)           |
   |  - Legitimate service ticket        |
   |  - Attacker can now access          |
   |    any resource                     |
   |<-------------------------------------|

缓解措施

立即行动

1. 应用微软 2025 年 8 月补丁星期二更新 — 这是主要修复措施。对应的 KB 请参阅上文受影响版本表。

2. 监控漏洞利用尝试：

   • 事件 ID 4768（Kerberos 身份验证票据已授予）— 查找无效或异常的 TGT 请求
   • 事件 ID 4769（Kerberos 服务票据已请求）— 查找异常的服务票据模式
   • 端口 88 上来自未知来源的异常 Kerberos 流量

3. 网络分段：

   • 限制对域控制器的 88/TCP-UDP 端口访问
   • 使用防火墙将 Kerberos 流量限制在授权子网内

4. 启用附加日志记录：

   • 启用 Kerberos 日志记录（NetworkProvider\Kerberos\Operational）
   • 启用 PAC 验证审计日志记录
   • 监控无效的 PAC 签名

检测规则

Sigma 规则（无预身份验证的 AS-REQ）：

title: CVE-2025-53779 Kerberos Authentication Bypass
logsource:
  product: windows
  service: security
detection:
  selection:
    EventID: 4768
    PreAuthenticationType: 0  # No pre-authentication required
  condition: selection
  falsepositives:
    - Users with "Do not require Kerberos preauthentication" set

变通方案（如果无法应用补丁）

• 禁用 Kerberos PAC 验证绕过： 虽然在修补之前没有官方变通方案，但组织可以：
  • 限制对域控制器（端口 88）的网络访问
  • 在应用程序上启用扩展身份验证保护（EPA）
  • 部署网络入侵检测系统（NIDS）规则，以检测格式错误的 AS-REQ 消息

参考

1. 微软安全响应中心 - CVE-2025-53779
2. 微软 2025 年 8 月补丁星期二发行说明
3. 微软安全更新指南
4. MITRE ATT&CK - 使用替代身份验证材料：票据传递（T1550.003）
5. Impacket - 用于 Kerberos 交互的 Python 库
6. Kerberos 协议扩展（RFC 4120）
7. MS-KILE：Kerberos 协议扩展
8. MS-PAC：特权属性证书数据结构

免责声明

本仓库仅用于教育和经授权的安全测试目的。在您不拥有或未经明确书面许可测试的系统上未经授权利用 CVE-2025-53779 属于违法行为。作者不对任何误用此信息的行为负责。

许可证

本项目采用 MIT 许可证授权 - 详情请参阅 LICENSE 文件。