为什么要单独聊默认配置过去十几年做域渗透有一个心照不宣的前提Windows 出厂是不安全的基线要靠管理员自己熬。PetitPotam、PrinterBug、DFSCoerce 这类 coercion 链能成气候不是因为它们有多高明而是因为 LDAP 不签名、机器账户密码等于机器名、Netlogon 匿名可调——这些都是微软默认不拦、管理员多半也没配的缝隙。Windows Server 2025 的思路变了。微软把过去十几年靠 Security Baseline、靠 KB 补丁、靠管理员手搓 GPO 才补上的东西直接焊进了新部署的默认行为里。安全基线项数也从域控角色的 319 项涨到 347 项成员服务器 318→344工作站 294→319。这意味着你搭一个全新林不用 CIS Benchmark出来的就是一个打过 Hardening 补丁的域。下面按攻击链的层次拆每一条都对应到它堵死了哪条经典路径。一、认证协议层把 coercion 和中继的入口一个个焊死1. LDAP 签名 / 绑定签名新部署强制Windows Server 2025 起所有新建 AD 部署在 SASL 绑定之后默认要求 LDAP 签名与密封。这个默认由一条独立的、优先级更高的 GPO 控制域控制器: LDAP 服务器签名要求强制执行。它和老的域控制器: LDAP 服务器签名要求是两回事——前者在没有显式配置时直接翻成要求签名后者长期停在无要求/协商。就地升级不强制微软为了不炸老环境升级时保留你已有的签名策略只有当 DC 上压根没配过这条策略时2025 才把它默认拉到要求。攻击意义这是 ntlmrelayx 打 LDAP 那条路的命门。PetitPotam、PrinterBug、DFSCoerce、ShadowCoerce 这一系列 coercion最终都是诱导 DC 或服务器往攻击者控制的机器做 LDAP 认证再由 ntlmrelayx relay 到 LDAP 写msDS-AllowedToActOnBehalfOfOtherIdentity配约束委派 RBCD或者改gMSA密码。只要 LDAP 这一侧要求签名relay 过来的匿名/未签名会话直接被拒整条 RBCD 链在默认环境下走不通。2. LDAP 通道绑定 3074/3075 事件通道绑定Channel Binding以前是个开了就炸一片的开关2025 把审核事件 3074、3075 补齐管理员可以先观察环境里哪些机器不支持 CBT再切强制。这本身不是攻击面收缩但它是把 LDAPS 中继这条路从能不能做变成可观测、可逐步关的前提。3. 机密属性必须在加密连接上读写这是一条容易被忽略但非常狠的默认DC 和 AD LDS 现在只允许在连接加密的前提下对机密属性做 add/search/modify。机密属性名单里包含什么unicodePwd、dBCSPwd、lmPwdHistory、ntPwdHistory以及——现代环境里最值钱的——msLAPS-Password、msLAPS-EncryptedPassword这一堆 LAPS 相关字段。攻击意义以前你 relay 一个机器账户到 LDAP哪怕不签名只要能写属性就能把 LAPS 密码读出来。现在未加密连接上连碰这些字段的机会都没有。这同时把relay LDAP 读 LAPS和裸 LDAP 拖密码哈希历史两条副业端掉了。4. KDC 不再发 RC4 TGTKerberos 加密类型收紧KDC 默认不再发放 RC4-HMAC(NT) 加密的 TGT。同时老的注册表项HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters\SupportedEncryptionTypes被废弃统一走 GPO网络安全: 配置 Kerberos 允许的加密类型。配合 2026 年 4 月补丁CVE-2026-20833推进的DefaultDomainSupportedEncTypesDC 在没显式配置时默认只承认 AES。攻击意义Kerberoasting 的前提是拿到一个 RC4 服务票据——RC4 的 session key 离线爆破是可行的AES-256 的 session key 以目前字典的现实程度基本不爆。TGT 都不发 RC4 了意味着默认林里新签发的票据天然抗 Kerberoasting历史上已经用 RC4 注册的服务账户仍然要靠msDS-SupportedEncryptionTypes手动切到 AES。这不是一升级就免疫 Kerberoasting但默认林的攻击难度上了一个数量级。5. NTLMv1 协议移除 SSO 凭证阻断时间表NTLMv1 协议本身在 WS2025 里已经被移除。但 MS-CHAPv2Wi-Fi/EAP/VPN这类上层协议还会派生 NTLMv1 风格的凭证材料所以微软加了新注册表项HKLM\SYSTEM\CurrentControlSet\Control\Lsa\msv1_0 BlockNtlmv1SSO (REG_DWORD) 0 审计默认2025 年内 1 强制阻断节奏是2025 年 8 月底客户端先上审计事件 40242025 年 11 月 25 日开始推 Windows Server 20252026 年 10 月把默认值从 0 翻成 1强制事件 4025。Credential Guard 开着的机器不受这条影响。6. 旧 SAM RPC 密码修改接口默认阻断这条是 coercion 生态的另一刀。DC 上远程调用下面这三个老接口默认直接拒绝SamrChangePasswordUserSamrOemChangePasswordUser2SamrUnicodeChangePasswordUser2新接口SamrUnicodeChangePasswordUser4AES 保护是唯一接受的路径。更狠的是对受保护用户组里的域用户、以及域成员机器上的本地账户连SamrUnicodeChangePasswordUser4都默认禁掉。攻击意义 PetitPotam 的一个经典变种是把 DC 的机器账户密码改成攻击者知道的值再用这个账户做 DCSync。那个改密动作走的就是 SamrRPC 老接口。默认环境下这条链被掐了。同理OemChangePassword 那条给旧 SMB 客户端用的通道也关了。7. Netlogon RPC 匿名调用收紧KB5066014 / CVE-2025-49716打完 2025 年 8 月补丁后DC 不再允许匿名客户端通过 Netlogon RPC 调一组与 DC 定位相关的请求。这直接影响 Samba 这类非微软成员加入域的兼容性红队侧则意味着匿名枚举域内信息的一个老入口收窄。二、传输与会话层SMB 这一刀最深SMB 是 2025 改动密度最高的子系统几乎每一条都对着一个红队常用模块。1. 所有 SMB 连接默认签名不只是 SYSVOL/NETLOGON以前 WS2022 及更早SMB 签名只在客户端访问 DC 的 SYSVOL/NETLOGON 时强制其它共享可签可不签。2025 起所有出站和入站 SMB 连接默认要求签名。攻击意义ntlmrelayx 打 SMB 的路直接废掉一半。Relay 到 SMB 本机拿不到 Shell、relay 到 LDAP 被上面第 1 条拦、relay 到 LDAPS 还要过通道绑定。Guest 回退无需密码连共享同时被禁。2. SMB 身份验证速率限制器默认开每次失败的 NTLM 或 Local KDC Kerberos 认证之后SMB Server 强制加 2 秒延迟。微软自己给的算账原来 5 分钟每秒 300 次猜测共 9 万次现在要 50 小时。攻击意义SMB 端口爆破、密码喷洒的实际效用被砍到接近零。这是打在内网横向那个最朴素的手段上。3. SMB 客户端可阻断 NTLM、可强制加密、可锁方言三件套Set-SmbClientConfiguration系列参数支持出站连接禁用 NTLM包括按服务器白名单例外客户端可以强制所有出站连接必须走 SMB 3.x 加密方言协商可以锁死到 SMB 3.1.1不跟 SMB 2.0.2~3.0.2 谈。攻击意义这是给管理员一条把 NTLM 从环境里挤出去的正路。一旦客户端侧 NTLM 被禁SPNEGO 不会再降级到 NTLM relay 和 PtH 在协议层就失去了原料。4. 防火墙规则去掉 NetBIOS 137-139新建 SMB 共享时自动配的防火墙组从文件和打印机共享换成文件和打印机共享受限不再放行入站 NetBIOS 端口 137-139。攻击意义Responder 在内网广播投毒那套依赖的就是 NetBIOS Name Service 和 mailslot。端口面先收掉一层。5. 远程 Mailslot 默认禁用DC 定位协议里用来找域控的远程 mailslot默认关。微软明说缺乏任何认证或授权机制不安全后续版本会直接删。攻击意义mailslot 欺骗、伪造 DC 响应这一类老手法在新环境里没了载体。6. SMB over QUIC 全版本下放 客户端访问控制以前只在 Azure Edition 里有的 SMB over QUIC2025 全版本可用。它走 TLS 1.3 证书不信任网络下不需要 VPN 就能连边缘文件服务器。配套的客户端访问控制要求客户端自带证书、在 allowlist 里才能握手。这不是攻击面收缩是换了一条更安全的通道替代 SMB over TCP 在不可信网络上的位置。7. RRAS 默认不接 PPTP/L2TP新装的路由和远程服务默认只收 SSTP 和 IKEv2PPTP/L2TP 必须手动开。就地升级保留原配置。三、凭证与账户层把 lsass 和机器账户这两块底盘换了1. Credential Guard 在符合硬件条件的机器上默认开2025 起满足 VBS 条件Secure Boot、TPM、UEFI Lock 推荐的机器Credential Guard 默认启用。LSASS 里的 NTLM hash、Kerberos TGT、明文域凭证被隔离在 VBS 容器里普通管理员和攻击者都读不出来。攻击意义Mimikatz、ProcDump 抓 lsass、PwDump7 这一套拿到本地管理员就等于拿到域管票据的传统路径在默认配置下直接失效。PtH、PtT、OverPass-the-Hash 这一整族技术的前提是能从 lsass 里挖出 hash/票据Credential Guard 把这个前提抽掉了。这是 2025 对红队工作流影响最大的一条。注意它不是银弹Credential Guard 不保护 WDigest 明文、不保护用 S4U2Self 申请的服务票据、不保护已经导出的 Golden Ticket。但登录后随手抓 hash这个动作默认没了。2. 机器账户默认密码随机化禁止等于机器名历史上有一个著名的默认新加入域的机器账户初始密码可以被设成机器名去$符号长度 14 位以内。Responder 在局域网里投毒经常能钓出来这种机器名 密码的机器账户哈希然后拿去 relay 或者 PtH。2025 的 DC 默认机器账户密码改成随机生成显式阻止把机器账户密码设成机器账户名ADAC/ADUC 不再允许创建Windows 2000 之前的兼容账户net computer、dsmod等老工具同步遵循这个行为。要放开得手动去 GPO 关拒绝设置默认计算机账户密码。攻击意义Responder 在新林里的产出价值大幅下降。这同时端掉了一类用已知机器账户密码做 DCSync的历史 trick。3. LAPS 原生进 AD加了三个新能力Windows LAPS 从 2025 开始是 OS 自带组件不需要再下 MSI 安装包。新增自动本地账户管理可随机化本地管理员名镜像回滚检测新属性msLAPS-CurrentPasswordVersion存一个 GUID每次写密码时更新客户端每轮比对发现不一致立刻轮换——防止有人用一个老镜像快照还原后复用旧 LAPS 密码PAA身份验证后动作扩展登录后不仅改密码、注销还能把这个账户下挂的所有进程一并杀掉。攻击意义LAPS 的普及本身就是对一台机器本地管理员密码 整个内网横向跳板的结构性否定。回滚检测堵的是打快照还原后凭据复用这条红队常用小技巧。4. 委派托管服务账户dMSA新账户类型用来把传统人工管理的服务账户普通域用户/服务账户平滑迁移到托管形态。密钥由系统随机生成并托管禁用原账户密码时应用改动最小。这是继续往 gMSA/managed identity 方向推减少长期静态密码的服务账户。四、对照默认环境下哪些攻击向量被实质性削弱按红队常用手法归个类攻击手法以前默认环境WS2025 默认新林ntlmrelayx → LDAP 写 RBCD可行LDAP 不签名LDAP 强制签名 机密属性加密直接拒ntlmrelayx → SMB可行SMB 双向签名拒绝未签名会话PetitPotam / PrinterBug / DFSCoerce → 改机器账户密码经典链旧 SamrRPC 改密接口阻断新接口要 AESResponder 投毒抓机器账户 hash经常出机器名密码机器账户密码随机NetBIOS 端口默认关mailslot 禁用KerberoastingRC4 服务票据大量服务账户默认 RC4KDC 不发 RC4 TGT新账户默认 AESMimikatz 抓 lsass 拿域管 TGT拿到本地管理员即可Credential Guard 默认隔离lsass 读不出PtH / PtT 横向主流路径凭据不在 lsass原料没了SMB 密码喷洒 / 爆破每秒几百次失败一次延迟 2 秒量纲变小时匿名 Netlogon RPC 枚举可行2025-08 补丁后拒绝匿名调用Guest 回退连共享可拒PPTP/L2TP VPN 入口开关新装五、新增/变化的攻击面与运维点说2025 全是加固也不客观有几处是新的面红队和运维都要知道OpenSSH Server 默认安装。这是 WS2025 第一次把 OpenSSH 服务端做成默认组件。意味着 22 端口在新 DC 上可能直接就在跑SSH 密钥管理、管理员误用密码登录会变成新的运维审计项。LDAP over TLS 1.3。TLS 1.3 本身没攻击面但 Schannel 实现和老的 LDAPS 客户端特别是 .NET Framework 老版本、自研 Java/LDAP 工具的兼容性要测。SMB over QUIC 在所有版本可用。如果开了443/UDP 是新的暴露面证书颁发链和客户端访问 ACL 要管好别又配成任何能链到 CA 的客户端都能连。新的审计日志面变大了。NTLM Operational 日志4024/4025、SMBClient Audit31998/31999、SMBServer Audit3021/3022、LDAP 3074/3075。这些既是 defender 的宝藏也是红队要先于防守方摸清的噪声源——做行动前先想清楚你会在哪个日志里留下记录。32K 数据库页是可选的新功能不影响安全但要求林功能级别提到 10迁移是林范围动作别在没备份时手贱。六、升级和排障要踩的坑就地升级不重置你已有的 GPO。这是微软的善意也是陷阱你从 WS2022 升上来的 DCLDAP 签名策略如果之前是协商升级完还是协商不会自动变成要求。要享受 2025 的默认收紧要么搭新林迁移要么手动把那批以前没配过的策略按 2025 的默认值拉一遍。LDAP 签名相关故障看事件 2886/2887/2888Kerberos 加密不匹配看 4768TGT 请求和 4769服务票据请求对比客户端 advertised etypes、账户msDS-SupportedEncryptionTypes、KDC 处理结果。NTLMv1 阻断在 2026 年 10 月会从审计翻强制。现在就该去翻Microsoft-Windows-NTLM/Operational里的 4024把还在派生 NTLMv1 凭证的 MS-CHAPv2 Wi-Fi/VPN 配置换掉。Samba 成员机、老的 Linux 文件服务器、老的打印服务会被 Netlogon RPC 收紧和 SMB 签名默认两条同时打到。升级前先在测试林里把这一类异构客户端列出来。Credential Guard 不是想关就能随手关的UEFI Lock 开了之后注册表改不动得进 BIOS 关 VBS。排故障时别第一反应就是关 CG。结语WS2025 对 AD 的改造本质是微软把过去二十年渗透社区攒出来的那套默认环境下的标准打法——LDAP relay、机器账户投毒、RC4 爆破、lsass 抓 hash、SMB 暴力——在出厂状态下一条条堵上。它没让域渗透变不可能但它把拿到一个内网 foothold 之后顺理成章横向到 DC那条最短路径从默认配置里抽掉了。对防守方升级时真正的工作量不在 OS 本身而在异构客户端盘点、老服务账户加密类型迁移、LAPS 铺开、审计日志接入 SIEM。对红队2025 之后的域渗透更依赖应用层漏洞Exchange、ADCS ESC 系列、SQL Server、配置错误过度委派、ACL 滥用、以及能绕过 Credential Guard 的高阶手法S4U、信任滥用、基于资源的约束委派在特定条件下仍可做。那些一个脚本打穿整个域的好日子在新部署的默认林里基本结束了。