作为域管理员,有时我们需要批量地向AD域中添加用户帐户,这些用户帐户既有一些相同的属性,又有一些不同属性。如果在图形界面逐个添加、设置,那么需要的时间和人力会超出能够承受范围。一般来说,如果不超过10个,我们可利用AD用户帐户复制来实现。如果再多的话,就应该考虑使用使用命令行工具,实现批量导入导出对象。微软默认提供了两个批量导入导出工具,分别是CSVDE(CSV目录交换)和LDIFDE(LDAP数据互换格式目录交换)。 具体选择上述哪个工具取决于需要完成的任务。如果需要创建对象,那么既可以使用CSVDE,也可以使用LDIFDE,如果需要修改或删除对象,则必须使用LDIFDE。本文不涉及使用CSVDE导入对象。而是换另一种导入导出AD帐户思路:使用CSVDE工具导出AD帐户到CSV格式的文件中,再使用For语句读取该文件,使用DSADD命令进行批量添加。 具体步骤: 一:使用CSVDE导出帐户 使用 CSVDE 导出现有对象的列表相当简单。 最简单的用法是: csvde –f ad.csv 将 Active Directory 对象导出到名为 ad.csv 的文件。–f 开关表示后面为输出文件的名称。 但是必须注意,上述的用法是很简单,但是导出来的结果可能存在太多你不希望要的记录和信息。 如果要实现更精确的导出记录,可以使用 -d 和 -r 以及 -l 参数。 其中:-d 用来指定特定的搜索位置和范围 -r 用来指定特定的搜索对象类型 -l 用来指定导出对象的具体属性 如: csvde –f users.csv –d "ou=Users,dc=contoso,dc=com" –r "(&(objectcategory=person)(objectclass=user))" –l DN,objectClass,description 注意:如果使用CSVDE导出的帐户信息中存在中文,会存在乱码的可能,可以加-U参数来解决。 二:批量导入帐户 首先需要明确的概念是,要实现批量导入帐户,必须要存在一个已包括多个帐户信息的文件。没有文件,无法实现批量导入。 假设之前已经通过CSVDE工具导出过这样的一个文件Users.csv,且文件内容如下 姓 名 全名 登录名 密码 张,三, 张三, three.zhang,pass01 李,四, 李四, four.li, passo2 王,五, 王五, five.wang, pass03 刘,六, 刘六, six.liu, passo4 赵,七, 赵七, seven.zhao, pass05 有了上述格式的文件后,我们就可以使用For命令来读取文件中的每条信息并利用DSADD实现帐号添加。 具体语句如下: C:\>for /f "tokens=1,2,3,4,5 delims=," %a in (uses.csv) do dsadd user "cn=%c,ou= newusers,dc=contoso,dc=com" -samid %d -upn %d@contoso.com -fn %b -ln %a -pwd %e -disabled no 作用:将上述文件中五个帐户添加到contoso.com域,名为newusers的OU中,且默认已启用用户。 其中:-samid为登录名 -upn为UPN登录名 -fn为 名 -ln为 姓 -pwd为 密码 简单解释一下for语句 /f 表示从文件中读取信息 tokens表示每行使用的记号,对应于后面的变量具体的值 delims表示每个字段之间的分隔符
如何在 Active Directory 环境中检测 Bloodhound 的 SharpHound 收集器和 LDAP 侦察活动完成的枚举。我们将通过创建一些诱饵帐户(或蜂蜜帐户)并将它们与真实帐户混合来使用欺骗来检测这一点。诱饵帐户是为欺骗目的而创建的帐户,也用于防御以检测恶意行为。MITRE在其工具和技术中涵盖了Bloodhound和域枚举。
随着互联网技术的不断发现,信息安全在企业中的受重视度也越来越高,终端管理是信息安全中至关重要的一环,不可能要求终端用户和服务器管理员有着一样的安全隐患意识和技术水平,因此在终端管理员层如何制定完善终端管理的制度和利用现有的技术来规范用户行为至关重要。其中做好权限的管理是重中之重,而企业内终端的密码管理则是权限管理的基础。
描述:Nltest是内置于 Windows Server 2008 和 Windows Server 2008 R2 的命令行工具。 如果您有 AD DS 或 AD LDS 服务器角色安装,则可用,如果安装活动目录域服务工具的一部分的远程服务器管理工具 (RSAT)则也可以用。 若要使用nltest您必须从提升的命令提示符下运行nltest命令。 注意:要打开提升的命令提示符,请单击开始用鼠标右键单击命令提示符下,然后单击以管理员身份运行。
在域环境中,不同域控制器(DC)之间,每 15 分钟都会有一次域数据的同步。当一个域控制器(DC 1)想从其他域控制器(DC 2)获取数据时,DC 1 会向 DC 2 发起一个 GetNCChanges 请求,该请求的数据包括需要同步的数据。如果需要同步的数据比较多,则会重复上述过程。DCSync 就是利用的这个原理,通过 Directory Replication Service(DRS) 服务的 GetNCChanges 接口向域控发起数据同步请求。
调查结果(MAC III - 行政敏感) 查找 ID 严重性 标题 描述 V-8534 高的 不同分类级别的 DoD 目录服务之间的互连必须使用经批准可与跨分类信任一起使用的跨域解决方案。 如果不使用强大的跨域解决方案,那么它可能允许未经授权访问机密数据。为了支持不同分类级别的资源之间的安全访问,... V-8536 高的 受控接口必须在 DoD 和非 DoD 系统或网络之间运行的 DoD 信息系统之间具有互连。 AD 信任关系的配置是用于允许一个域中的用户访问另一个域、林或 Kerberos 领域中的资
Adfind是一个使用C++语言写的活动目录查询工具,它允许用户轻松地搜索各种活动目录信息。它不需要安装,因为它是基于命令行的。它提供了许多选项,可以细化搜索并返回相关细节。下面讲解Adfind的参数以及其使用。执行如下命令即可查看Adfind的所有参数。
SQLRecon是一款针对Microsoft SQL Server的安全研究工具,该工具专为红队研究人员设计,可以帮助广大研究人员针对MSSQL执行网络侦查和后渗透利用测试。
kube-apiserver 是 Kubernetes 控制平面中的核心组件,用于公开 Kubernetes API,以便其他组件和管理员可以与 Kubernetes 集群进行交互。
在内网渗透测试中我们经常会在几个小时内获得域管理权限,而造成这种情况的原因是系统加固不足和使用不安全的Active Directory默认值,在这种情况下公开的利用工具有助于发现和利用这些问题,并经常导致获得域管理权限,本篇博文描述了一个场景,在这个场景中我们的标准攻击方法不起作用,我们必须更深入地挖掘才能获得域中的高权限,我们描述了使用访问控制列表的更高级的权限提升攻击,并介绍了一个名为Invoke-Aclpwn的新工具和一个对ntlmrelayx的扩展,它可以自动执行这种高级攻击的步骤
服务账户是我们用于身份验证自动化操作的帐户,例如CI/CD流水线。它们不应该与用户绑定,因为如果我们禁用该用户或限制其权限,我们不希望我们的流水线开始失败。服务账户应具有严格的访问控制,并且不应允许执行比管道所需更多的操作,而实际用户可能需要访问更多的资源。 在Argo CD中创建服务账户有两种方法:一种是使用本地用户(只使用apiKey并删除登录部分),另一种是使用项目角色并为这些角色分配令牌。
本地帐户Local Accounts存储在本地的服务器上。这些帐户可以在本地服务器上分配权限,但只能在该服务器上分配。默认的本地帐户是内置帐户(如administrator、guest等),在安装Windows时自动创建。Windows安装后,无法删除默认的本地帐户。此外,默认的本地帐户不提供对网络资源的访问。默认的本地帐户用于根据分配给该帐户的权限来管理对本地服务器资源的访问。默认的本地帐户和后期创建的本地帐户都位于“用户”文件夹中。
Azure AD 无缝单点登录 (SSO) 改善了使用 Azure AD 标识平台(例如 Microsoft 365)的服务的用户体验。配置了无缝 SSO 后,登录到其加入域的计算机的用户将自动登录到 Azure AD .
在 Ubuntu 20.04 中,默认情况下是禁用了根帐户(root account)的。根帐户具有最高权限,可以执行系统的关键任务。然而,在大多数情况下,推荐使用普通用户帐户,并使用 sudo 命令来执行需要特权的任务。但是,有时可能需要启用根帐户来进行一些特定的操作。本文将详细介绍如何在 Ubuntu 20.04 上管理根帐户。
Certified Pre-Owned是安全研究员@(Will Schroeder和Lee Christensen)在6月17号提出的针对Active Directory 证书服务的一个攻击手法,并于8月5日在Black Hat 2021中进行展示。
大清早就接到求救电话,干我们这行真是没谁了,都快跟消防队救火差不多了。某网管急吼吼地在电话那头喘着粗气,估计有点慌:“早上特地早点到公司维护一下服务器,谁知道手一抖,删错一个域账户,那是我们财务总监的,要是恢复不了,等他来了,我就要回家待业了。”
如果你的服务器是2003的,它默认只支持.net,不支持asp所以须进行以下操作:
我们知道,如果攻击者进入域(内网)环境中,攻击影响不敢想象,所以最重要的是快速检测它们。防病毒和EDR解决方案在检测和阻止攻击者方面已经走了很长一段路,但是牛批的黑客很可能通过各种奇技淫巧技术来规避这些控制措施。
SID 历史记录是一项旧功能,可实现跨 Active Directory 信任的回溯。此功能在 Active Directory 首次发布以支持迁移方案时就已到位。当用户通过身份验证时,用户所属的每个安全组的 SID 以及用户 SID 历史记录中的任何 SID 都将添加到用户的 Kerberos 票证中。由于 SID History 旨在跨信任工作,因此它提供了跨信任“模拟”。
第一次写博客,记录一下如何搭建自己的域服务器,以及其中遇到的一些问题,感谢“我的bug我做主”的文章《C#实现AD域验证登录(一)》,为防止原文被作者删除,手动将原文复制下来,如有侵权,请及时告知。
虽然 Azure 在某些方面利用 Azure Active Directory,但 Azure AD 角色通常不会直接影响 Azure(或 Azure RBAC)。本文详细介绍了一个已知配置(至少对于那些深入研究过 Azure AD 配置选项的人来说),Azure Active Directory 中的全局管理员(又名公司管理员)可以通过租户选项获得对 Azure 的控制权。这是“按设计”作为“打破玻璃”(紧急)选项,可用于(重新)获得 Azure 管理员权限,如果此类访问权限丢失。 在这篇文章中,我探讨了与此选项相关的危险,它当前是如何配置的(截至 2020 年 5 月)。 这里的关键要点是,如果您不仔细保护和控制全局管理员角色成员资格和关联帐户,您可能会失去对所有 Azure 订阅中托管的系统以及 Office 365 服务数据的积极控制。 注意: 围绕此问题的大部分研究是在 2019 年 8 月至 2019 年 12 月期间进行的,自那时以来,Microsoft 可能已经在功能和/或能力方面进行了更改。
Windows常见安全事件日志ID汇总 适用于:Windows Server 2016
Guest账户为黑客入侵打开了方便之门,黑客使用Guest账户可以进行提权。禁用Guest账户是最好的选择。操作流程:进入“控制面板->管理工具->计算机管理->本地用户和组->用户->Guest”“账户已禁用”打勾启用加固后:
问题 企业环境中计算机上本地帐户的真正问题是“本地”一词用词不当。如果网络上的 50 台计算机的本地管理员帐户为“Administrator”,密码为“P@55w0rd1!”,首先这是一个可怕的密码。其次,更重要的是,如果其中一台计算机受到威胁,它们都将受到威胁。Windows 非常有帮助。非常有用,如果您将本地管理员凭据传递给具有相同本地凭据的另一台计算机,则授予访问权限,就像您使用目标系统凭据登录一样。将管理员凭据转储到一个以获取所有管理员!缓解此问题的最佳方法是确保每台计算机都有一个不同的本地管理员帐户密码,该密码长、复杂且随机,并且会定期更改。
Kubernetes 持续交付工具 Argo CD 中存在一个重大安全漏洞。利用此漏洞可以让攻击者在目标实例上获得权限的提升,包括管理员访问权限。
上节我们介绍了“Linux安全加固10条建议”本节我们继续看Windows服务器安全加过10条建议。
地址:https://github.com/Ryze-T/Sylas/releases/tag/beta
一般想知道哪一台是域控知道自己内网的DNS就可以了,一般域控安装都有安装DNS有些不止一台,其次是通过扫描获取开放端口为389机器或者使用NLTEST命令查看。最后就是各种网络查看查看域控是哪台主机
这是CDH/HDP/Apache Hadoop迁移到CDP系列的第一篇博客,如对迁移感兴趣,请关注该系列博客。
Kerberos黄金票据是有效的TGT Kerberos票据,因为它是由域Kerberos帐户(KRBTGT)加密和签名的。TGT仅用于向域控制器上的KDC服务证明用户已被其他域控制器认证。TGT被KRBTGT密码散列加密并且可以被域中的任何KDC服务解密的。
描述: Windows Time服务维护在网络上的所有客户端和服务器的时间和日期同步,而W32tm命令是设置windows操作系统时间同步与时间监控。
APT-Hunter是Windows事件日志的威胁猎杀工具,它由紫色的团队思想提供检测隐藏在海量的Windows事件日志中的APT运动,以减少发现可疑活动的时间,而不需要有复杂的解决方案来解析和检测Windows事件日志中的攻击,如SIEM解决方案和日志收集器。
安全服务工程师大家应该都知道,对于他的岗位职责你可能会说不就是渗透测试啊、应急响应嘛.....实际上正式一点的企业对于安服的要求是包括了漏洞扫描、安全基线检查、渗透测试、安全加固、日志分析、恶意代码检查、应急响应、安全加固等差不多十个方面的内容的。内容多吗?我也觉得多!
在第 3 部分中,我们将研究 ICS 中的远程访问连接,检查它们为何存在,并回顾保护它们的最佳实践。 远程访问最佳实践 远程访问连接对 ICS 的重要性 在互联网出现之前,大多数组织的 ICS/OT 环境是“隔离的”,这意味着它没有与外部网络的连接。因此,网络安全措施并不是 ICS 的主要考虑因素。然而,正如本系列的第一部分所讨论的,必须克服这种思维方式在互联网时代的持续存在,因为 ICS 环境现在更加互联并依赖于实时操作数据。随后,它们已成为威胁团体的高价值目标。 与 ICS 进行远程访问连接的好处是
最近使用了win10系统,结果发现无法对c盘的文件进行写入删改,在网上到处搜集资料,终于找到了解决方法,这里总结一下。
Linux默认情况下是安全的,并同意进行一些扩展(这是有争议的话题)。但是,默认情况下,Linux 具有内置的安全模型。需要根据你的需要对其进行调整和自定义,这可能有助于构建更安全的系统。Linux 更难管理,但提供了更多的灵活性和配置选项。 1. 物理系统安全 配置 BIOS 禁用从启动 CD/DVD, External Devices, Floppy Drive 在 BIOS. 接下来,启用BIOS 密码和保护 GRUB 使用密码来限制对系统的物理访问。 2. 磁盘分区 如果发生任何事故,拥有不同的分区
身份验证是任何计算环境的基本安全要求。简单来说,用户和服务必须先向系统证明其身份(身份验证),然后才能在授权范围内使用系统功能。身份验证和授权携手并进,以保护系统资源。授权使用多种方式处理,从访问控制列表(ACL)到HDFS扩展ACL,再到使用Ranger的基于角色的访问控制(RBAC)。
0 操作成功完成。 1 函数不正确。 2 系统找不到指定的文件。 3 系统找不到指定的路径。 4 系统无法打开文件。 5 拒绝访问。 6 句柄无效。 7 存储控制块被损坏。 8 存储空间不足,无法处理此命令。 9 存储控制块地址无效。 10 环境不正确。 11 试图加载格式不正确的程序。 12 访问码无效。 13 数据无效。 14 存储空间不足,无法完成此操作。 15 系统找不到指定的驱动器。 16 无法删除目录。 17 系统无法将文件移到不同的驱动器。 18 没有更多文件。 19 介质受写入保护。 20
描述: 由于最近工作和学习的需要就将针对于Windows系统的一些安全配置做了如下记录,便于后期的知识结构化,并在后续的工作继续进行添加安全加固的一些技巧,同时希望广大的大佬也能多多扩充安全加固配置项,可以通过邮箱、博客、以及公众号联系我。
1、编辑配置文件/etc/pam.d/system-auth,在文件中找到开头为如下字样的内容:
对于任何计算环境来讲,身份验证是最基本的安全要求。简单来说,用户和服务必须先向系统证明其身份(身份验证),然后才能在授权范围内使用系统功能。身份验证和授权携手并进,以保护系统资源。授权有多种方式处理,从访问控制列表(ACL)到HDFS扩展的ACL,再到使用Ranger的基于角色的访问控制(RBAC)。
密码安全问题一直都受到个人和企业的关注。对于个人而言,或许仅仅只是个人隐私的被公开,而对于企业而言则可能会是灾难性的。为了避免出现这种情况,越来越多的企业都开始使用一些不可逆,且强度高的加密算法来加密其账户密码。但一些安全意识薄弱的企业或个人,仍在使用可逆加密存储其账户密码。一旦使用可逆加密,即使你的密码设置的非常长也可以被攻击者轻易的破解。
Azure AD 无缝单点登录 (SSO) 改进了使用 Azure AD 标识平台(例如 Microsoft 365)的服务的用户体验。配置无缝 SSO 后,登录到其加入域的计算机的用户会自动登录到 Azure AD .
SSH或安全shell是用于管理服务器和与服务器通信的加密协议。使用Debian服务器时,您可能会将大部分时间花在通过SSH连接到服务器的终端会话中。
本文介绍如何创建用作蜜罐(或蜜令牌)的帐户,这些帐户看起来像是提供了攻击者想要的东西(访问),但最终提供了防御者想要的东西(检测)。重点是使蜜罐帐户在 Active Directory 中看起来正常且“真实”,并且此前提应该在某种程度上可以移植到其他系统。
本文档描述如何使用多种安全管理工具来保护CDP环境。重点介绍安全管理工具与CDP环境之间的集成点,但不会探讨这些工具的核心功能。
领取专属 10元无门槛券
手把手带您无忧上云