在Windows Server环境中，禁用LM哈希是提升本地安全策略的关键一步。LM哈希是一种陈旧且脆弱的密码哈希算法，它极易受到暴力破解和彩虹表攻击，会严重威胁服务器认证安全。尽管现代Windows系统默认已部分限制LM哈希的使用，但在某些遗留配置或组策略未覆盖的场景中，它仍可能被激活。因此，管理员必须主动在本地安全策略中彻底禁用LM哈希，并启用更安全的NTLMv2或Kerberos认证。下面将详细介绍通过本地安全策略编辑器、注册表以及组策略对象（GPO）等多种方法，实现禁用LM哈希的具体操作步骤，并分析其安全影响和注意事项。
为什么必须禁用LM哈希？安全风险详解
LM哈希（LAN Manager Hash）是早期Windows系统采用的密码加密方式，它将密码转换为16字节的哈希值存储。但由于其设计缺陷，如不区分大小写、将密码拆分为两个7字符片段等，使得破解难度大幅降低。攻击者利用工具如彩虹表，可在短时间内还原明文密码，进而渗透服务器。相比之下，NTLM哈希（NT哈希）和NTLMv2协议提供了更强的加密和挑战-响应机制，能有效抵御此类攻击。在Windows Server 2008及更高版本中，虽然默认设置已倾向于NTLMv2，但若系统与旧客户端兼容或策略配置不当，LM哈希仍可能被启用。因此，禁用LM哈希不仅是安全最佳实践，也是符合CIS（互联网安全中心）等安全基准的要求。
方法一：通过本地安全策略编辑器禁用LM哈希
对于单台Windows Server，最直接的方法是使用本地安全策略编辑器。首先，以管理员身份登录服务器，打开“运行”对话框（Win+R），输入secpol.msc并回车。在左侧导航栏中，依次展开“本地策略” -> “安全选项”，然后在右侧列表中找到“网络安全: LAN Manager 身份验证级别”。双击该项，会弹出设置窗口。默认情况下，该策略可能设置为“未定义”或“发送 LM 和 NTLM 响应”。要禁用LM哈希，需选择“仅发送 NTLMv2 响应\拒绝 LM”或更严格的“仅发送 NTLMv2 响应\拒绝 LM 和 NTLM”。推荐选择“仅发送 NTLMv2 响应\拒绝 LM 和 NTLM”，以完全禁用LM哈希和NTLMv1，仅允许NTLMv2。确认后，点击“应用”和“确定”。最后，在命令提示符中运行gpupdate /force强制更新组策略，使设置立即生效。此方法简单直观，适合快速配置独立服务器。
方法二：通过修改注册表禁用LM哈希
如果服务器未安装本地安全策略编辑器（例如Server Core版本），或需要脚本化批量部署，可以直接编辑注册表。注册表路径为HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa，需要修改或创建名为LmCompatibilityLevel的DWORD值。该值的范围从0到5，具体含义如下：0表示发送LM和NTLM响应；1表示使用NTLMv2会话安全；2表示仅发送NTLM响应；3表示仅发送NTLMv2响应；4表示域控制器拒绝LM；5表示域控制器拒绝LM和NTLM。要禁用LM哈希，建议将值设置为3或5。例如，设置为5可完全拒绝LM和NTLMv1，强制使用NTLMv2。操作步骤为：打开注册表编辑器（regedit），导航到上述路径，右键新建DWORD（32位）值，命名为LmCompatibilityLevel，双击将其值数据改为5。完成后，重启服务器或重启lsass.exe进程使更改生效。注意，修改注册表存在风险，建议先备份。以下是一个PowerShell脚本示例，可用于自动化设置：
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "LmCompatibilityLevel" -Value 5 -Type DWord Restart-Service -Name "Netlogon" -Force
方法三：通过组策略对象（GPO）在域环境中禁用LM哈希
在Active Directory域环境中，使用组策略对象（GPO）可以集中管理多台服务器的安全策略。首先，打开“组策略管理”控制台（gpmc.msc），创建一个新的GPO或编辑现有GPO。导航到“计算机配置” -> “策略” -> “Windows 设置” -> “安全设置” -> “本地策略” -> “安全选项”，找到“网络安全: LAN Manager 身份验证级别”策略。启用该策略，并选择与本地设置相同的选项，如“仅发送 NTLMv2 响应\拒绝 LM 和 NTLM”。然后将GPO链接到需要应用的OU（组织单位）或域。策略生效后，域内所有成员服务器和工作站将自动继承此设置。为确保兼容性，建议先在测试OU中部署，验证无误后再推广到生产环境。此外，可通过gpresult /h report.html命令检查策略应用状态。使用GPO的优势在于规模化管理和一致性维护，特别适合大型企业网络。
验证LM哈希是否已禁用：实用检查方法
配置完成后，必须验证LM哈希是否真正被禁用。一种简单的方法是使用事件查看器：打开“事件查看器”，导航到“Windows 日志” -> “安全”，筛选事件ID为4776的日志（NTLM认证事件），查看其中是否包含LM哈希的引用。如果仅显示NTLMv2，则说明禁用成功。另一种专业方法是利用工具如“Mimikatz”或“Hashcat”进行测试，但需在授权环境下进行。此外，可以检查注册表值是否持久化：运行reg query HKLM\SYSTEM\CurrentControlSet\Control\Lsa /v LmCompatibilityLevel，确认返回值是否为3或5。对于域环境，可使用gpresult /r查看应用的GPO设置。定期审计这些检查点，能确保安全策略未被意外更改或覆盖。
禁用LM哈希的潜在影响与兼容性考量
禁用LM哈希可能会影响旧客户端或应用程序的兼容性。例如，Windows 95/98或早期第三方设备可能仅支持LM认证，禁用后会导致它们无法连接到服务器。因此，在实施前应全面评估网络环境。如果存在遗留系统，可考虑逐步迁移：先设置策略为“发送 NTLMv2 响应\拒绝 LM”，保留NTLMv1支持过渡，待旧设备升级后再完全禁用。同时，某些旧版应用程序（如基于SMB1的软件）也可能依赖LM哈希，需要更新或替换。从安全角度看，尽管NTLMv2比LM哈希强得多，但它仍存在中间人攻击风险，因此理想方案是全面迁移到Kerberos认证，并配合强密码策略和多重身份验证。总之，禁用LM哈希是安全加固的基础步骤，但需平衡安全与业务连续性。
总结：构建更安全的Windows Server环境
禁用LM哈希是Windows Server安全配置中不可或缺的一环。通过本地安全策略、注册表或组策略，管理员可以有效地消除这一薄弱点，提升整体防御能力。建议将此项设置纳入服务器基线配置，并结合其他措施如启用SMB签名、配置账户锁定策略和定期更新补丁，形成多层次安全防护。随着网络威胁日益复杂，主动加固系统比被动响应更为重要。定期审查和测试安全策略，确保其适应不断变化的环境，才能维护服务器长久稳定运行。
