攻击者可以通过多种方式获得 Active Directory 中的域管理员权限。这篇文章旨在描述一些当前使用的比较流行的。此处描述的技术“假设破坏”，即攻击者已经在内部系统上站稳脚跟并获得了域用户凭据（也称为后利用）。
对于任何计算环境来讲，身份验证是最基本的安全要求。简单来说，用户和服务必须先向系统证明其身份（身份验证），然后才能在授权范围内使用系统功能。身份验证和授权携手并进，以保护系统资源。授权有多种方式处理，从访问控制列表（ACL）到HDFS扩展的ACL，再到使用Ranger的基于角色的访问控制（RBAC）。
身份验证是任何计算环境的基本安全要求。简单来说，用户和服务必须先向系统证明其身份（身份验证），然后才能在授权范围内使用系统功能。身份验证和授权携手并进，以保护系统资源。授权使用多种方式处理，从访问控制列表（ACL）到HDFS扩展ACL，再到使用Ranger的基于角色的访问控制（RBAC）。
每个域控制器都有一个用于 DC 的内部“Break glass”本地管理员帐户，称为目录服务还原模式 (DSRM) 帐户。提升 DC 时设置的 DSRM 密码，很少更改。在域控制器上更改 DSRM 密码的主要方法是运行 ntdsutil 命令行工具。
问题 企业环境中计算机上本地帐户的真正问题是“本地”一词用词不当。如果网络上的 50 台计算机的本地管理员帐户为“Administrator”，密码为“P@55w0rd1!”，首先这是一个可怕的密码。其次，更重要的是，如果其中一台计算机受到威胁，它们都将受到威胁。Windows 非常有帮助。非常有用，如果您将本地管理员凭据传递给具有相同本地凭据的另一台计算机，则授予访问权限，就像您使用目标系统凭据登录一样。将管理员凭据转储到一个以获取所有管理员！缓解此问题的最佳方法是确保每台计算机都有一个不同的本地管理员帐户密码，该密码长、复杂且随机，并且会定期更改。
Windows 凭据管理是操作系统从服务或用户接收凭据并保护该信息以供将来向身份验证目标呈现的过程。对于加入域的计算机，身份验证目标是域控制器。身份验证中使用的凭据是将用户身份与某种形式的真实性证明（例如证书、密码或 PIN）相关联的数字文档。
本文介绍如何创建用作蜜罐（或蜜令牌）的帐户，这些帐户看起来像是提供了攻击者想要的东西（访问），但最终提供了防御者想要的东西（检测）。重点是使蜜罐帐户在 Active Directory 中看起来正常且“真实”，并且此前提应该在某种程度上可以移植到其他系统。
一般想知道哪一台是域控知道自己内网的DNS就可以了，一般域控安装都有安装DNS有些不止一台，其次是通过扫描获取开放端口为389机器或者使用NLTEST命令查看。最后就是各种网络查看查看域控是哪台主机
在内网渗透测试中我们经常会在几个小时内获得域管理权限，而造成这种情况的原因是系统加固不足和使用不安全的Active Directory默认值，在这种情况下公开的利用工具有助于发现和利用这些问题，并经常导致获得域管理权限，本篇博文描述了一个场景，在这个场景中我们的标准攻击方法不起作用，我们必须更深入地挖掘才能获得域中的高权限，我们描述了使用访问控制列表的更高级的权限提升攻击，并介绍了一个名为Invoke-Aclpwn的新工具和一个对ntlmrelayx的扩展，它可以自动执行这种高级攻击的步骤
上一节讲到Azure AD的一些基础概念，以及如何运用 Azure AD 包含API资源，Azure AD 是微软提供的云端的身份标识和资源访问服务，帮助员工/用户/管理员访问一些外部资源和内部资源：
Microsoft Sentinel 是可缩放的云原生安全信息与事件管理 (SIEM) 和安全业务流程自动响应 (SOAR) 解决方案。 Sentinel 在整个企业范围内提供智能安全分析和威胁情报，为攻击检测、威胁可见性、主动搜寻和威胁响应提供单一解决方案。Microsoft Sentinel 是整个企业的鸟瞰视图，可以缓解日益复杂的攻击、不断增加的警报数量以及长时间解决时间帧带来的压力。
Kerberos黄金票据是有效的TGT Kerberos票据，因为它是由域Kerberos帐户（KRBTGT）加密和签名的。TGT仅用于向域控制器上的KDC服务证明用户已被其他域控制器认证。TGT被KRBTGT密码散列加密并且可以被域中的任何KDC服务解密的。
Preempt的研究人员发现了如何在NTLM身份验证上绕过MIC(Message Integrity Code)保护措施并修改NTLM消息流中的任何字段（包括签名）。该种绕过方式允许攻击者将已经协商签名的身份验证尝试中继到另外一台服务器，同时完全删除签名要求。所有不执行签名的服务器都容易受到攻击。 这个漏洞其实就是可以绕过NTLM MIC的防护，也是NTLM_RELAY漏洞。攻击者利用该漏洞可以绕过NTLM中的MIC（Message Integrity Code）。攻击者可以修改已经协商签名的身份验证流量，然后中继到另外一台服务器，同时完全删除签名要求。通过该攻击方式可使攻击者在仅有一个普通域账号的情况下，运程控制域中任意机器（包括域控服务器）。
Windows常见安全事件日志ID汇总 适用于：Windows Server 2016
许多渗透测试人员和攻击者通常都会使用一种被称为“密码喷洒（Password Spraying）”的技术来进行测试和攻击。对密码进行喷洒式的攻击，这个叫法很形象，因为它属于自动化密码猜测的一种。这种针对所有用户的自动密码猜测通常是为了避免帐户被锁定，因为针对同一个用户的连续密码猜测会导致帐户被锁定。所以只有对所有用户同时执行特定的密码登录尝试，才能增加破解的概率，消除帐户被锁定的概率。
我有几个客户在渗透测试之前来找我，说他们的系统安全做得非常好，因为他们的漏洞扫描显示没有严重的漏洞并且已准备好进行安全测试，这使我在15分钟内利用AD中的错误配置获得了域管理员权限。
描述:Nltest是内置于 Windows Server 2008 和 Windows Server 2008 R2 的命令行工具。 如果您有 AD DS 或 AD LDS 服务器角色安装，则可用，如果安装活动目录域服务工具的一部分的远程服务器管理工具 （RSAT）则也可以用。 若要使用nltest您必须从提升的命令提示符下运行nltest命令。 注意：要打开提升的命令提示符，请单击开始用鼠标右键单击命令提示符下，然后单击以管理员身份运行。
在第 3 部分中，我们将研究 ICS 中的远程访问连接，检查它们为何存在，并回顾保护它们的最佳实践。 远程访问最佳实践 远程访问连接对 ICS 的重要性 在互联网出现之前，大多数组织的 ICS/OT 环境是“隔离的”，这意味着它没有与外部网络的连接。因此，网络安全措施并不是 ICS 的主要考虑因素。然而，正如本系列的第一部分所讨论的，必须克服这种思维方式在互联网时代的持续存在，因为 ICS 环境现在更加互联并依赖于实时操作数据。随后，它们已成为威胁团体的高价值目标。 与 ICS 进行远程访问连接的好处是
全球大约72%的企业使用 Microsoft Windows 服务器操作系统 (OS)，每台服务器都使用 Active Directory 将用户相关数据和网络资源存储在域中。
这篇文章旨在强调 GMSA 可以做什么，以及如果没有得到适当保护，攻击者可以做什么。当我们在 Trimarc 执行 Active Directory 安全评估时，我们发现在 AD 环境中组托管服务帐户的使用有限。应尽可能使用 GMSA 将用户帐户替换为服务帐户，因为密码将自动轮换。
Azure AD 无缝单点登录 (SSO) 改进了使用 Azure AD 标识平台（例如 Microsoft 365）的服务的用户体验。配置无缝 SSO 后，登录到其加入域的计算机的用户会自动登录到 Azure AD .
每个域控制器都有一个用于 DC 的内部“Break glass”本地管理员帐户，称为目录服务还原模式 (DSRM) 帐户。DSRM 密码是在提升新 DC 时设置的，并且密码很少更改。
0 操作成功完成。 1 函数不正确。 2 系统找不到指定的文件。 3 系统找不到指定的路径。 4 系统无法打开文件。 5 拒绝访问。 6 句柄无效。 7 存储控制块被损坏。 8 存储空间不足，无法处理此命令。 9 存储控制块地址无效。 10 环境不正确。 11 试图加载格式不正确的程序。 12 访问码无效。 13 数据无效。 14 存储空间不足，无法完成此操作。 15 系统找不到指定的驱动器。 16 无法删除目录。 17 系统无法将文件移到不同的驱动器。 18 没有更多文件。 19 介质受写入保护。 20
本文转载自：https://www.cnblogs.com/backlion/p/10843067.html
Azure AD 无缝单点登录 (SSO) 改善了使用 Azure AD 标识平台（例如 Microsoft 365）的服务的用户体验。配置了无缝 SSO 后，登录到其加入域的计算机的用户将自动登录到 Azure AD .
在域架构中，最核心的就是DC(Domain Control，域控制器)。域控制器可分为三种：域控制器、额外域控制器和只读域控制器(RODC)。创建域环境首先要创建DC，DC创建完成后，把所有需要加入域的客户端加入到DC，这样就形成了域环境。网络中创建的第一台域控制器，默认为林根域控制器，也是全局编录服务器，FSMO操作主机角色也默认安装到第一台域控制器。 一个域环境中可以有多台域控制器，也可以只有一台域控制器。当有多台域控制器的时候，每一台域控制器的地位几乎是平等的，他们各自存储着一份相同的活动目录数据库。当你在任何一台域控制器内添加一个用户账号或其他信息后，此信息默认会同步到其他域控制器的活动目录数据库中。多个域控制器的好处在于当有域控制器出现故障了时，仍然能够由其他域控制器来提供服务。
在企业环境中部署 Active Directory 证书服务 (AD CS) 可以允许系统管理员利用它在不同目录对象之间建立信任。但是，它可能允许红队操作员对 AD CS 的 Web 界面进行 NTLM 中继攻击，以破坏网络。Web 界面用于允许用户获取证书（Web 注册），通过 HTTP 协议，不支持签名并接受 NTLM 身份验证。
这是一组逻辑默认权限，但问题在于 TokenCache.dat 文件是一个包含当前会话的 AccessKey 的明文 JSON 文件。
SPN(ServicePrincipal Names)服务主体名称，是服务实例(如：HTTP、SMB、Exchange等服务)的唯一标识符。Kerberos身份验证使用SPN将服务实例与服务登录帐户相关联。如果在整个林或域中的计算机上安装多个服务实例，则每个实例都必须具有自己的 SPN。如果客户端使用多个名称进行身份验证，则给定服务实例可以具有多个SPN。SPN 始终包含运行服务实例的主机名，因此服务实例可以为其主机的每个名称或别名注册SPN。一个用户账户下可以有多个SPN，但一个SPN只能注册到一个账户。如果想使用 Kerberos 协议来认证服务，那么必须正确配置SPN。
Ldap 认证就是把用户数据信息放在 Ldap 服务器上,通过 ldap 服务器上的数据对用户进行认证处理。好比采用关系型数据库存储用户信息数据进行用户认证的道理一样。Ldap 也可以算作是数据库,不过不是关系型的,而是采用层次型组织数据的。Ldap是开放的Internet标准，支持跨平台的Internet协议，在业界中得到广泛认可的，并且市场上或者开源社区上的大多产品都加入了对Ldap的支持，因此对于这类系统，不需单独定制，只需要通过LDAP做简单的配置就可以与服务器做认证交互。接下来介绍Opnsense Ldap Authentication on Active Directory。
Meeting_Notes_June_2018.html在 Firefox 中查看时就像电子邮件一样：
调查结果（MAC III - 行政敏感） 查找 ID 严重性 标题 描述 V-8534 高的 不同分类级别的 DoD 目录服务之间的互连必须使用经批准可与跨分类信任一起使用的跨域解决方案。 如果不使用强大的跨域解决方案，那么它可能允许未经授权访问机密数据。为了支持不同分类级别的资源之间的安全访问，... V-8536 高的 受控接口必须在 DoD 和非 DoD 系统或网络之间运行的 DoD 信息系统之间具有互连。 AD 信任关系的配置是用于允许一个域中的用户访问另一个域、林或 Kerberos 领域中的资
Mimikatz是从Windows系统收集凭据数据的最佳工具之一.实际上,大多数认为Mimikatz是Windows凭据的"瑞士军刀"(或多功能工具),该工具可以完成所有任务.由于Mimikatz的作者Benjamin Delpy是法国人,因此,至少在他的博客上,大多数描述Mimikatz用法的资源都使用法语.该Mimikatz GitHub的库是英文的,包括命令使用的有用信息.
在LDAP中目录是按照树型结构组织——目录信息树（DIT） DIT是一个主要进行读操作的数据库
如果你的服务器是2003的，它默认只支持.net,不支持asp所以须进行以下操作:
📷 目的 本文介绍了一些在保护 IBM Cognos 10 BI 环境时需要考虑的最佳实践和准则。 本文的目标读者是负责设计 IBM Cognos 10 架构和/或开发项目的 IBM Cognos 1
密码安全问题一直都受到个人和企业的关注。对于个人而言，或许仅仅只是个人隐私的被公开，而对于企业而言则可能会是灾难性的。为了避免出现这种情况，越来越多的企业都开始使用一些不可逆，且强度高的加密算法来加密其账户密码。但一些安全意识薄弱的企业或个人，仍在使用可逆加密存储其账户密码。一旦使用可逆加密，即使你的密码设置的非常长也可以被攻击者轻易的破解。
在前面Fayson介绍了多篇关于Window Server上安装的Active Directory服务，由于Active Directory服务即提供了统一的用户管理也提供了Kerberos认证服务，在向AD中新增用户的同时也为用户创建了相应的Kerberos账号，那本篇文章Fayson主要介绍，如何在不考虑自定义用户的Kerberos账号的前提下将CDH中集成的RedHat7的Kerberos迁移至AD的Kerberos认证。
虽然 Azure 在某些方面利用 Azure Active Directory，但 Azure AD 角色通常不会直接影响 Azure（或 Azure RBAC）。本文详细介绍了一个已知配置（至少对于那些深入研究过 Azure AD 配置选项的人来说），Azure Active Directory 中的全局管理员（又名公司管理员）可以通过租户选项获得对 Azure 的控制权。这是“按设计”作为“打破玻璃”（紧急）选项，可用于（重新）获得 Azure 管理员权限，如果此类访问权限丢失。 在这篇文章中，我探讨了与此选项相关的危险，它当前是如何配置的（截至 2020 年 5 月）。 这里的关键要点是，如果您不仔细保护和控制全局管理员角色成员资格和关联帐户，您可能会失去对所有 Azure 订阅中托管的系统以及 Office 365 服务数据的积极控制。 注意： 围绕此问题的大部分研究是在 2019 年 8 月至 2019 年 12 月期间进行的，自那时以来，Microsoft 可能已经在功能和/或能力方面进行了更改。
Kerberos是一种支持票证身份验证的安全协议。如果客户端计算机身份验证请求包含有效的用户凭据和服务主体名称 (SPN)，则 Kerberos 身份验证服务器将授予一个票证以响应该请求。然后，客户端计算机使用该票证来访问网络资源。在内部网络中，SPN扫描通过 查询向域控制器执行服务发现。这对于红队而言，可以帮助他们识别正在运行重要服务的主机，如终端、交换机、微软SQL等，并隐藏他们。此外，SPN的识别也是kerberoasting攻击的第一步。
早在2013年9月，蜘蛛实验室（ Spider Labs）就发表过一篇题为“SpiderLabs在你内网中获取域管的五大方式”的文章。这篇文章是我继该文的，应该说是非官方的“Part 2”部分。
此消息表明一个操作尝试要求以Kerberos的user/host@realm身份认证的操作，但票据cache中没有用于user/host@realm的票据。
Active Directory 帮助 IT 团队在整个网络中集中管理系统、用户、策略等。因为它是组织不可分割的一部分，所以这给攻击者提供了机会，利用 Active Directory 的功能来做一些恶意的操作。在这篇文章中，我们可以了解到 DCSync 的原理及检测方法。
在使用Kerberos身份验证的网络中，必须在内置计算机帐户（如NetworkService或LocalSystem）或用户帐户下为服务器注册SPN。对于内置帐户，SPN将自动进行注册。但是，如果在域用户帐户下运行服务，则必须为要使用的帐户手动注册SPN。因为域环境中每台服务器都需要在Kerberos身份验证服务注册SPN，所以我们可以直接向域控制器进行查询我们需要的服务的SPN，就可以找到我们需要使用的服务资源在哪台机器上。Kerberos身份验证使用SPN将服务实例与服务登录帐户相关联。如果在整个域中的计算机上安装多个服务实例，则每个实例都必须具有自己的SPN。如果客户端可能使用多个名称进行身份验证，则给定的服务实例可以具有多个SPN。例如，SPN总是包含运行服务实例的主机名称，所以服务实例可以为其主机的每个名称或别名注册一个SPN。
我们知道，如果攻击者进入域(内网)环境中，攻击影响不敢想象，所以最重要的是快速检测它们。防病毒和EDR解决方案在检测和阻止攻击者方面已经走了很长一段路，但是牛批的黑客很可能通过各种奇技淫巧技术来规避这些控制措施。
这个章节主要讲Active Directory 域服务概述及相关概念，设计步骤及AD常见的规划设计TOP方案，每种架构TOP方案的特定及优缺点。
Active Directory 的早期阶段，企业常常在用户可能登录的每个站点均部署域控制器。例如，银行通常在每个支行都安装 DC。其中的逻辑是每个支行的用户都能登录并访问本地网络资源，即使 WAN 失效也能如此。本文是《Active Directory教程》的第三篇，讲述了Windows Server 2008 只读域控制器。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
