2024年十大关键测试发现：网安人必知的新发现

信息技术（IT）专业人士在坏人之前发现公司弱点的最有效方法之一是渗透测试。通过模拟现实世界的网络攻击，渗透测试（有时称为笔测试）为组织的安全态势提供了宝贵的见解，揭示了可能导致数据泄露或其他安全事件的弱点。

自动化网络渗透测试平台vPenTest的创建者Vonahi Security刚刚发布了他们的年度报告“2024年十大关键Pentest调查结果”。在这份报告中，Vonahi Security进行了超过10,000次自动网络测试，揭示了1200多个组织的十大内部网络测试结果。

让我们深入研究这些关键发现，以更好地了解组织面临的常见可利用漏洞以及如何有效解决这些漏洞。

十大Pentest发现和建议

1.多播DNS（MDNS）欺骗

多播DNS（mDNS）是一种在小型网络中使用的协议，用于在没有本地DNS服务器的情况下解析DNS名称。它向本地子网发送查询，允许任何系统使用请求的IP地址进行响应。这可能会被攻击者利用，他们可以用自己的系统的IP地址进行响应。

建议：

防止利用的最有效方法是，如果不使用mDNS，则将其完全禁用。根据实现情况，这可以通过禁用Apple Bonjour或avahi-daemon服务来实现

2.NetBIOS名称服务（NBNS）欺骗

NetBIOS名称服务（NBNS）是一种在内部网络中用于在DNS服务器不可用时解析DNS名称的协议。它通过网络广播查询，任何系统都可以使用请求的IP地址进行响应。攻击者可以利用这一点，他们可以用自己的系统IP地址进行响应。

建议：

以下是一些防止在Windows环境中使用NBNS或减少NBNS欺骗攻击影响的策略：

配置UseDnsOnlyForNameResolutions注册表项，以防止系统使用NBNS查询（NetBIOS over TCP/IP配置参数）。将注册表DWORD设置为

禁用内部网络中所有Windows主机的NetBIOS服务。这可以通过DHCP选项、网络适配器设置或注册表项来完成

3.链接本地多播名称解析（LLMNR）欺骗

链路本地多播名称解析（LLMNR）是内部网络中使用的一种协议，用于在DNS服务器不可用时解析DNS名称。它在整个网络上广播查询，允许任何系统使用请求的IP地址进行响应。攻击者可以利用这一点，他们可以用自己的系统IP地址进行响应。

建议：

防止利用的最有效方法是配置多播名称解析注册表项，以防止系统使用LLMNR查询。

使用组策略：计算机配置\管理模板\网络\DNS客户端\关闭多播名称解析=启用（要管理Windows 2003 DC，请使用Windows 7的远程服务器管理工具）

仅使用Windows Vista/7/10家庭版的注册表：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient \EnableMulticast

4.IPV6 DNS欺骗

当流氓DHCPv6服务器部署在网络上时，会发生IPv6 DNS欺骗。由于Windows系统更喜欢IPv6而不是IPv4，如果可用，启用IPv6的客户端将使用DHCPv6服务器。在攻击期间，IPv6 DNS服务器被分配给这些客户端，同时他们保留其IPv4配置。这允许攻击者通过重新配置客户端将攻击者的系统用作DNS服务器来拦截DNS请求。

建议：

禁用IPv6，除非业务运营需要它。由于禁用IPv6可能会导致网络服务中断，强烈建议在大规模部署之前测试此配置。另一种解决方案是在网络交换机上实现DHCPv6保护。从本质上讲，DHCPv6保护确保只允许授权的DHCP服务器列表向客户端分配租约

5.过时的Microsoft Windows系统

过时的Microsoft Windows系统容易受到攻击，因为它不再接收安全更新。这使得它很容易成为攻击者的目标，他们可以利用其弱点，并可能转向网络中的其他系统和资源。

建议：

用制造商支持的最新操作系统替换过时的Microsoft Windows版本。

6.IPMI身份验证绕过

智能平台管理接口（IPMI）允许管理员集中管理服务器。然而，一些服务器存在漏洞，允许攻击者绕过身份验证并提取密码散列。如果密码是默认的或弱的，攻击者可以获得明文密码并获得远程访问。

建议：

由于此特定漏洞没有可用的补丁，建议执行以下一项或多项操作。

限制IPMI访问数量有限的系统-出于管理目的需要访问的系统。

如果业务运营不需要IPMI服务，请禁用它。

将默认管理员密码更改为强而复杂的密码。

仅在服务上使用HTTPS和SSH等安全协议，以限制攻击者在中间人攻击中成功获取此密码的机会。