在大多数情况下，攻击者可以通过定位域管理员所登录的服务器，利用漏洞获取服务器system权限，找到域管理的账号、进程或是身份验证令牌，从而获取域管理员权限。本文分享几种常见的获取域管理员权限的方式。
在针对大型企业的域渗透过程会发现，即使拿域管理员的账号密码去登录某些域内机器，也提示不允许登录。而某些普通域用户可以登录，这是为什么呢？且看文章讲解。
当获取了一台在域内的Windows服务器权限，就需要我们尽可能地去收集所能获取到的域的相关信息，收集的域的信息越多，拿下域控的成功率越高。
免责声明：本公众号发布的文章均转载自互联网或经作者投稿授权的原创，文末已注明出处，其内容和图片版权归原网站或作者本人所有，并不代表安全+的观点，若有无意侵权或转载不当之处请联系我们处理，谢谢合作！
当我们获取到远程 Windows 系统的账号密码(明文或哈希)后，我们有哪些方式可以利用该账号密码进行远程连接呢？
工作组是局域网中的一个概念，它是最常见的资源管理模式，简单是因为默认情况下计算机都是采用工作组方式进行资源管理的。将不同的电脑按功能分别列入不同的组中，以方便管理。默认情况下所有计算机都处在名为 WORKGROUP 的工作组中，工作组资源管理模式适合于网络中计算机不多，对管理要求不严格的情况。 域(domain)是微软为集中管理计算机而推出的一种方式，用来描述一种架构，和“工作组”相对应，由工作组升级而来的高级架构，域 (Domain)是一个有安全边界的计算机集合（ 安全边界，意思是在两个域中，一个域中的用户无法访问另一个域中的资源）。可以简单的把域理解成升级版的“工作组”，相比工作组而言，它有一个更加严格的安全管理控制机制，如果你想访问域内的资源，就必须拥有一个合法的身份登陆到该域中,而你对该域内的资源拥有什么样的权限,还需要取决于你在该域中的用户身份。
哈希传递（Pass The Hash）攻击，该方法通过找到与账户相关的密码散列值（通常是 NTLM Hash）来进行攻击。
攻击者可以通过多种方式获得 Active Directory 中的域管理员权限。这篇文章旨在描述一些当前使用的比较流行的。此处描述的技术“假设破坏”，即攻击者已经在内部系统上站稳脚跟并获得了域用户凭据（也称为后利用）。
基本信息 # 网络信息 $ ipconfig /all # 查询网络配置信息 # 系统信息 $ systeminfo | findstr /B /C:"OS 名称" /C:"OS 版本" # 查询操作系统和软件信息 $ systeminfo # 查看补丁列表 $ wmic qfe get Caption,Description,HotFixID,InstallOn # 查看安装在系统的补丁 # 服务信息 $ wmic service list brief # 查询本机服务信息 $
当攻击者获得内网某台域内服务器的权限，就会以此为起始攻击点，尽可能地去收集域的信息，以获取域控权限作为内网的终极目标。例如，攻击者会在内网中收集域管理员用户列表和特定敏感用户的信息，通过定位域管理员以找到最佳攻击路径，从而拿到域管理员权限。
在内网渗透过程中，当获取到某个管理员用户的密码 hash 值却无法解密时，可以通过哈希传递攻击（Pass The Hash）对内网其他机器进行横向渗透。
route add 192.168.233.0 255.255.255.0 1 //添加路由表
如果我们拿到了一台普通用户权限的windows计算机，想要在内网中横向移动，需要知道域内用户登录的位置，是否是本地管理员，他的组，是否有权访问文件共亨等等。
2018年1月24日，在BlueHat安全会议上，安全研究员Benjamin Delpy 和 Vincent Le Toux 公布了针对微软活动目录域的一种新型攻击技术------DCShaow。利用该攻击技术，具有域管理员权限或企业管理员权限的恶意攻击者可以创建恶意域控，然后利用域控间正常同步数据的功能将恶意域控上的恶意对象同步到正在运行的正常域控上。由于执行该攻击操作需要域管理员权限或企业管理员权限，因此该攻击技术通常用于域权限维持。
微软MS-ADTS（MicroSoft Active Directory Technical Specification）中指出，活动目录是一个依赖于专用服务器架构。域控便是承载此服务的服务器，它托管活动目录对象的数据存储，并与其他的域控互相同步数据，以确保活动目录对象的本地更改在所有域控之间正确的复制。域控间的数据的复制由运行在NTDS服务上一个名为KCC（Knowledge Consistency Checker）的组件所执行。
域是Windows网络操作系统的应用模型。域(Domain)是Windows网络中独立运行的单位，域之间相互访问则需要建立信任关系(即TrustRelation)。信任关系是连接在域与域之间的桥梁。当一个域与其他域建立了信任关系后，2个域之间不但可以按需要相互进行管理，还可以跨网分配文件和打印机等设备资源，使不同的域之间实现网络资源的共享与管理。
BloodHound是一个免费的域渗透分析工具，BloodHound以用图与线的形式将域内用户、计算机、组、 会话、ACL 及域内所有相关用户、组、计算机、登录信息、访问控制策略之间的关系直观地展现在Red Team成员面前，更便捷地分析域内情况，更快地在域内提升权限。BloodHound也可以使Blue Team成员对己方网络系统进行更好的安全检测，以及保证域的安全性。BloodHound 使用图形理论，自动化地在Active Directory环境中理清大部分人员之间的关系和细节。使用BloodHound， 可以快速地深入了解AD中的一些用户关系、哪些用户具有管理员权限、哪些用户有权对任何计 算机都拥有管理权限，以及有效的用户组成员信息。
防止攻击者在您的网络中执行横向移动的能力不仅是威胁检测功能。我们将讨论下一些在企业网络中获得特权的用户凭证的最常见且最不可见的方式。众所周知，域名管理员或其他高性能凭据是网络攻击者的黄金。通过“钥匙”，他们可以轻松地、无声地从一个系统移动到另一个系统，更改域属性，添加权限，更改密码以及连接到域中的任何计算机。大多数企业将大量资源用于仔细管理域服务器，并使用各种技术和实践来控制访问权限。但我们的经验表明，即使在最勤奋的组织中，攻击者也比您想象的更容易获得特权用户凭证。
公司建设一个SaaS平台，用于发布各种企业级的SaaS应用，需要新增一个多租户版本的用户管理系统，下面归纳总结下整个多租户版本的用户管理数据模型设计。
调查结果（MAC III - 行政敏感） 查找 ID 严重性 标题 描述 V-8534 高的 不同分类级别的 DoD 目录服务之间的互连必须使用经批准可与跨分类信任一起使用的跨域解决方案。 如果不使用强大的跨域解决方案，那么它可能允许未经授权访问机密数据。为了支持不同分类级别的资源之间的安全访问，... V-8536 高的 受控接口必须在 DoD 和非 DoD 系统或网络之间运行的 DoD 信息系统之间具有互连。 AD 信任关系的配置是用于允许一个域中的用户访问另一个域、林或 Kerberos 领域中的资
当渗透测试人员进入内网后，面对的是一片“黑暗森林”，所以渗透测试人员首先会对当前所处的网络环境进行判断，通常的判断分为三种。
1、进入救援模式(winpe)，导航到系统盘system32目录下，重命名osk.exe为osk_bak.exe，后续还需要改回来
在每个域控机器下都有一个DSRM帐户，为DC的本地管理员账户，这个帐户的作用就是用来设定登陆服务还原模式 AD 节点的系统管理员密码，意思就是可以从新设置DC管理员的密码，在红队作战中，如果我们拿到了DSRM帐户的密码，就算哪天域管权限丢失,我们也可以把域内任意用户的密码同步到 DSRM 账户上[这里包括了 dc 本地的 admainistrator 用户],而后再利用 DSRM 账户 ipc 连到 dc 上把域管权限拿回来。
可参考文档：https://cloud.tencent.com/developer/article/1925795
大家好，这里是 渗透攻击红队 的第 74 篇文章，本公众号会记录一些红队攻击的案例，不定时更新！请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关！
在上一节 《记一次Vulnstack靶场内网渗透（四）》中，我们玩过了vulnstack 3这个靶场，通过信息收集、Joomla CMS漏洞利用、权限提升、以及域渗透最终拿下了域控并获得域控中的一份重要文件。
在域渗透中，需要对有目的性的渗透，快速控制一个域最快的办法（不包括直接利用提升为域管的漏洞）就是拿到域管理员的hash，然后对域控进行dcsync，拿到域内所有成员的hash，那么我们如何定位域管理员在哪台机器上登录过？
Domain：域是计算机网络的一种形式，其中所有用户账户，计算机，打印机和其他安全主体都在位于称为域控制器的一个或多个中央计算机集群上的中央数据库中注册。
之前为某客户的华为防火墙配置了L2TP OVER IPSEC，突然发现无法连接了，UniVPN报错：与对方建立连接超时，配置错误或网络故障。
每个域控制器都有一个用于 DC 的内部“Break glass”本地管理员帐户，称为目录服务还原模式 (DSRM) 帐户。提升 DC 时设置的 DSRM 密码，很少更改。在域控制器上更改 DSRM 密码的主要方法是运行 ntdsutil 命令行工具。
每个域控制器都有一个目录还原模式（DSRM）帐户，它的密码是在安装域控时设置的，实际上它对应的就是sam文件里的本地管理员“administrator”，基本很少会被重置，因此有着极强的隐蔽性。攻击者通过获取域控的DSRM密码，就可以使用帐户通过网络登录到域控服务器，从而达到权限维持的目的。
在渗透测试中，可以使用DSRM账号对域环境进行持久化操作。我们知道，每个域控制器都由本地管理员账号和密码(与域管理员账号和密码不同)。DSRM账号可以作为一个域控制器的本地管理员账户，通过网络连接域控制器，进而控制域控制器。
为了和靶机IP对应，我们先配置一下虚拟机的网卡IP，修改子网IP，NAT设置和DHCP设置
WinServer2012配置AD域 一、修改域控主机网卡IP，配置为静态IP，DNS配置为本机，并修改计算机名
内网，很多人应该形成了这个概念，很多大型网络的外部网站或是服务器不一定有用，当然外网也是一个突破口。很多时候我们直接从外网入手，随着安全的不断加固，已变得越来越困难。那么黑客通常是怎么进行内网渗透的，内网渗透又是怎样与社会工程学联系起来呢，今天主要描述黑客内网渗透的常用操作手法。
Active Directory 的早期阶段，企业常常在用户可能登录的每个站点均部署域控制器。例如，银行通常在每个支行都安装 DC。其中的逻辑是每个支行的用户都能登录并访问本地网络资源，即使 WAN 失效也能如此。本文是《Active Directory教程》的第三篇，讲述了Windows Server 2008 只读域控制器。
BloodHound是一款将域内信息可视化的单页的web应用程序，攻击者可以使用它来轻松识别高度复杂的攻击路径，同样的，防御者可以使用它来识别和消除那些相同的攻击路径。
前几天看到了老外一篇讲 mimikatz 防御的文章，感觉行文思路还不错，但是内容稍有不足，国内也有一篇翻译，但是只是照着错误翻译的，所以就萌生了把那篇优秀文章，翻译复现，并加入其它一些内容，本文只是抛砖引玉，文中有错误的话，欢迎吐槽。
可以从任何域添加用户账户、通用组和全局组，但只能在其所在域内指派权限。域本地组不能嵌套于其他组中。它主要是用于授予位于本域资源的访问权限。
国外安全研究员@elad_shamir在2019年一月底发表了一篇名为” Wagging the Dog: Abusing Resource-Based Constrained Delegation to Attack Active Directory"(https://shenaniganslabs.io/2019/01/28/Wagging-the-Dog.html）的文章，不同于以往利用无约束委派以及传统约束委派攻击，首次提出并详细介绍利用基于资源的约束委派进行活动目录攻击的方式。文中详细解释了该攻击发现过程，对协议的分析以及攻击原理，并给出不同场景下基于此攻击进行的远程代码执行，本地权限提升等操作。
psexec 是 windows 下非常好的一款远程命令行工具。psexec的使用不需要对方主机开机3389端口，只需要对方开启admin共享或 c (该共享默认开启，依赖于445端口)。但是，假如目标主机开启了防火墙(因为防火墙默认禁止445端口的连接)，psexec也是不能使用的，会提示找不到网络路径。由于psexec是windows提供的工具，所以杀毒软件会将其添加到白名单中。
工作组是局域网中的一个概念，由许多在同一物理地点，而且被相同的局域网连接起来的用户组成的小组，也可以是遍布一个机构的，但却被同一网络连接的用户构成的逻辑小组。工作组是最常见最简单最普通的资源管理模式，就是将不同的电脑按功能分别列入不同的组中，加入工作组是为了区分用户计算机在网络中的类别，如果用户有工作组的话，在管理上会方便很多，可以共享/使用打印机和协和工作，很多小企业都是用这种方法来管理电脑，共享文件。
说起内网定位，无论针对内网查找资料还是针对特殊人物都是非常实用的一项技术。这里把目前能够利用的手段&工具都一一进行讲解。
具体实践中，公安部会组织攻防两方，进攻方会在一个月内对防守方发动网络攻击，检测出防守方（企事业单位）存在的安全漏洞。通过与进攻方的对抗，企事业单位网络、系统以及设备等的安全能力会大大提高。
当机器安装完系统后，会自动创建默认的本地组。通过执行命令net localgroup可以查询出本机上的本地组，如图所示：
问题 企业环境中计算机上本地帐户的真正问题是“本地”一词用词不当。如果网络上的 50 台计算机的本地管理员帐户为“Administrator”，密码为“P@55w0rd1!”，首先这是一个可怕的密码。其次，更重要的是，如果其中一台计算机受到威胁，它们都将受到威胁。Windows 非常有帮助。非常有用，如果您将本地管理员凭据传递给具有相同本地凭据的另一台计算机，则授予访问权限，就像您使用目标系统凭据登录一样。将管理员凭据转储到一个以获取所有管理员！缓解此问题的最佳方法是确保每台计算机都有一个不同的本地管理员帐户密码，该密码长、复杂且随机，并且会定期更改。
外网更侧重于找漏洞寻找突破口 举个简单的例子： 把渗透测试当做去偷某家超市的某个商品。外网渗透就是突破超市的大门，进入超市。
开源靶场VulnStack是由国内红日安全团队打造一个靶场知识平台。靶场设计思路来源ATT&CK红队评估模式，从漏洞利用、内网搜集、横向移动、构建通道、持久控制、痕迹清理等方式进行搭建靶场。目前已有4个靶场环境，都可以通过百度云盘下载。 本次实战靶场地址：
前几天帮朋友搞了一个域，很久没有搞域了感觉都快忘的差不多了，不过还好最终还是打穿了这个域，不过应朋友要求就不以文章形式来写了，简单的整理了下思路和测试过程中遇到的一些问题和解决方法分享给大家，希望大家能够从中有所收获！！！
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
