CVE-2025-50154：通过Windows资源管理器快捷方式处理强制实施NTLM身份验证

Windows 快捷方式 (.lnk) 并非简单的文本指针，而是结构化的元数据格式，可存储目标路径（本地路径或 UNC/SMB 路径）、可选参数和工作目录，以及独立的图标引用。在常规文件夹浏览过程中，资源管理器会解析快捷方式元数据以在用户界面中呈现快捷方式（例如解析图标并验证目标）。 根据所引用的目标及相关元数据，此处理过程可能导致资源管理器在常规渲染或路径验证过程中尝试进行网络访问。

源代码： 开放规范 窗口协议 MS-NLMP

为改进这一缺陷，微软推出了NTLMv2协议，该协议强化了响应计算机制。具体而言，NTLMv2用基于HMAC-MD5的方案取代了旧版DES风格的响应构造方式，并在响应中融入了额外上下文信息，使其相较于NTLMv1在抵御多类离线破解技术方面具备显著增强的抗攻击能力。

即使采用NTLMv2协议，组织仍应将NTLM视为比Kerberos风险更高的身份验证协议，并实施深度防御控制措施（例如SMB签名和分段策略），以缩小强制身份验证场景的破坏范围。

Windows还将NTLM集成到其单点登录（SSO）体验中。 由用户密钥派生的凭据信息由LSASS管理，可用于网络资源（如SMB共享）的身份验证，且无需反复提示用户输入凭据。虽然这提升了用户体验，却扩大了强制认证场景的攻击面：当.lnk快捷方式指向远程SMB路径时，Windows资源管理器在常规快捷方式处理过程中可能主动建立SMB连接，并自动协商身份验证。

对于.lnk（Shell Link）文件，资源管理器通常不会默认显示通用快捷方式图标。相反，它会解析快捷方式元数据，尝试解析所引用的目标（及相关图标信息），然后渲染与该解析目标关联的图标。

当资源管理器渲染.lnk文件时，会通过调用CShellLink::GetIconLocation来确定图标来源，该函数用于识别图标的加载位置（例如目标二进制文件、显式图标路径或默认系统图标）。 在此流程中，资源管理器会初始化图标提取功能（_InitExtractIcon），随后执行核心解析逻辑（_GetExtractIcon），该逻辑通过_CheckExtractLocation函数评估图标来源。

• 若快捷方式指定了本地图标位置（例如磁盘上的可执行文件或动态链接库），资源管理器将直接从该资源加载图标。

• 若图标位置为远程 URL，资源管理器可能会将图标下载至本地缓存（例如使用URLDownloadToCacheFileW 函数），随后从缓存副本中加载该图标。

• 若未找到有效的图标来源，资源管理器将回退至系统处理程序提供的默认图标。

在解析图标相关元数据后，资源管理器通过CShellLink::Extract 处理快捷方式的目标，并完成提取工作流。在此路径中，当快捷方式指向远程位置时，资源管理器会调用CShellLink::_ShortNetTimeout应用更短的网络超时设置，从而在网络目标响应迟缓或不可达时减少用户界面延迟。

当目标被识别为网络（UNC）路径时，资源管理器会异步执行目标验证。它会生成一个工作线程来运行CShellLink::_VerifyPathThreadProc，该线程负责检查所引用的目标是否存在。

在此例程中，Explorer 调用PathFileExistsAndAttributesW 函数来查询目标文件的存在性及其基本属性（例如文件与目录的区别），而对于 SMB/UNC 目标，该操作需要尝试进行网络访问。

该网络活动仅包含常规的HTTP请求，根据我们的观察，其并未泄露与该漏洞相关的凭证信息。

当评估路径为 UNC/SMB 目标时，PathFileExistsAndAttributesW的行为更为关键。在调试过程中，我们观察到此检查可能在当前用户上下文中启动 SMB 会话建立并协商身份验证。