近日，Windows版Zoom客戶端爆出了容易受到NUC路徑注入攻擊的安全漏洞。作為一款音視頻會議應用，Zoom還允許用戶在聊天界面通過發送文本消息來互相交流。然而外媒Bleeping Computer指出，攻擊者可利用聊天模塊的漏洞，竊取點擊了相關鏈接的用戶的Windows登陸憑據。

【UNC 注入示例】

發送聊天消息時，所有發送的URL 都將經過轉換，以便群內其他成員點擊，繼而在默認的瀏覽器中打開網頁。

然而安全研究人員@ _g0dmode發現，Zoom客戶端竟然還將Windows網絡UNC路徑，也轉換成了聊天消息中可單擊的鏈接。

如圖所示，常規URL 和NUC 路徑（\evil.server.comimagescat.jpg），都被轉換成了聊天消息中的可點擊鏈接。

【捕獲的NTLM 密碼哈希值】

若用戶單擊UNC 路徑鏈接，則Windows 將嘗試使用SMB 文件共享協議連接到遠程站點，以打開遠程路徑中的cat.jpg 文件。

默認情況下，Windows 將發送用戶的登錄名和NTLM 密碼哈希值，但稍有經驗的攻擊者均可藉助Hashcat 之類的免費工具來逆向運算。

【簡單密碼可在16 秒內被暴力破解】

安全研究人員Matthew Hickey（@ HackerFantastic）實測發現，其能夠在Zoom 中順利注入，並且可以藉助當前的民用級GPU 和CPU 來快速破解。

除了竊取Windows 登陸憑據，Hickey 還向Bleeping Computer 透露，通過點擊鏈接的方式，UNC 注入還適用於啟動本地計算機上的程序（比如CMD 命令提示符）。

【程序運行提示】

慶幸的是，Windows 會在程序被執行前發出是否允許其運行的提示。想要堵上這一漏洞，Zoom 必須阻止Windows 客戶端的UNC 路徑轉換功能（屏蔽部分可點擊的超鏈接）。

據悉，Hickey 已經在Twitter 上向Zoom 官方發去了有關該安全漏洞的通知，但目前尚不清楚該公司已採取怎樣的行動。

注重安全的客戶，可在官方補丁發布前，通過組策略來限制向遠程服務器傳出NTLM 通信（參考如下操作）：

計算機配置-> Windows 設置-> 安全設置-> 本地策略-> 安全選項-> 網絡安全：限制NTLM -> 發送到遠程服務器的NTLM 通信（然後全部配置為拒絕）。

需要注意的是，如果在已經加入相關域的計算機上配置上述組策略時，可能會在嘗試訪問共享時遇到問題。

如果是無權訪問組策略設置Windows 10 家庭版用戶，亦可使用註冊表編輯器來完成相關限制操作（dword 配置為2）：

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsaMSV1_0]”RestrictSendingNTLMTraffic”=dword:00000002

如需正確創建此鍵值，Windows 用戶記得以管理員身份來啟動註冊表編輯器。

若日後有必要恢復默認發送NTLM 憑據的Windows 行為，也只需刪除對應的RestrictSendingNTLMTraffic 鍵值。