当我们在 Trimarc 执行 Active Directory 安全评估时，我们发现在 AD 环境中组托管服务帐户的使用有限。应尽可能使用 GMSA 将用户帐户替换为服务帐户，因为密码将自动轮换。...组管理服务帐户 (GMSA) 的要点： 由 AD 管理的 GMSA 密码。 托管 GMSA 服务帐户的计算机从 Active Directory 请求当前密码以启动服务。...如果我们可以破坏具有服务器 OU 权限的帐户，或通过 GPO 受限组或类似方式委派管理员权限，或者能够修改链接到此 OU 的 GPO，我们可以在 LCN 服务器上获得管理员权限 在获得与 GMSA 关联的服务器的管理员权限后...我在实验室中执行的下一步是确认 DSInternals 提供的 NT 密码散列与 Active Directory 中的匹配。...不要添加到 AD 特权组，除非使用 GMSA 的服务器仅限于第 0 层（域控制器）。 限制 GMSA 访问和位置（特别是如果有特权）。
在包括在伪造票证的 SID 历史记录中包含任意 SID 的功能。 SID 历史记录是一项旧功能，可实现跨 Active Directory 信任的回溯。...此功能在 Active Directory 首次发布以支持迁移方案时就已到位。...由于 Mimikatz 通过相对标识符 (RID) 将组成员身份添加到票证中，因此在 Kerberos 票证中将 519（企业管理员）RID 标识为在其中创建它的域的本地（基于 KRBTGT 帐户域）。...在单个域 Active Directory 林中，不存在此限制，因为 Enterprise Admins 组托管在此域中（这是创建黄金票证的地方）。...更新： 已经注意到，在 Active Directory 林中的信任之间启用 SID 过滤可以缓解这种情况，因为 SID 历史记录不起作用。
回到本地，然后我运行 Active Directory 模块 PowerShell 命令以获取域管理员组的成员身份，我们可以看到该帐户已添加。...一旦攻击者可以在 Azure VM 上将 PowerShell 作为系统运行，他们就可以从云托管的域控制器中提取任何内容，包括 krbtgt 密码哈希，这意味着完全破坏本地 Active Directory...结论： 客户在 Azure 云中托管本地 Active Directory 域控制器。客户还拥有 Office 365，其管理员帐户未得到适当保护。...使用此帐户，攻击者转向 Azure 并在托管公司本地 Active Directory 域控制器的 Azure VM 上运行 PowerShell。...PowerShell 命令可以更新 Active Directory 中的域管理员组或事件转储 krbtgt 密码哈希，这使攻击者能够离线创建 Kerberos Golden Tickets，然后针对本地
文章前言 在内网渗透测试中我们经常会在几个小时内获得域管理权限，而造成这种情况的原因是系统加固不足和使用不安全的Active Directory默认值，在这种情况下公开的利用工具有助于发现和利用这些问题...，Fox-IT开发了两个工具，第一个工具用PowerShell编写，可以在AD环境内部或外部运行，第二个工具是ntlmrelayx工具的扩展，此扩展允许攻击者将身份(用户帐户和计算机帐户)转发到Active...两个ACE被添加到域对象的ACL中 Replicating Directory Changes Replicating Directory Changes All 调用Mimkatz的DCSync特性...Exchange Trusted Subsystem安全组的组成员资格的权限，成为该组的成员将授予您在Active Directory中修改域对象的ACL的权限 我们现在有31个环节： 26个安全组的间接成员...，它将从系统角度运行，标志-UseDefaultCredentials将启用NTLM的自动身份验证 应该注意的是，在Active Directory的默认配置中针对LDAP的中继攻击是可能的，因为LDAP
Active Directory 检索“ AdminSDHolder ”的 ACL”对象定期（默认情况下每 60 分钟一次）并将权限应用于属于该对象的所有组和帐户。...这意味着在红队操作期间，即使在 60 分钟内检测到一个帐户并将其从高特权组中删除（除非强制执行），这些权限也将被推回。...这是由于安全描述符传播器 (SDProp) 进程在主体域控制器 (PDC) 模拟器上每 60 分钟运行一次，并使用 AdminSDHolder 中存在的组和帐户的安全权限填充访问控制列表。...Directory 的角度来看，通过查看其属性，可以看到用户“ pentestlab ”已添加到“ AdminSDHolder ”对象中。...由于用户具有所需的权限，因此可以将其添加到“域管理员”组。
于是我发现了有个东西叫做LAPS 0x02 LAPS是什么 Microsoft 本地管理员密码解决方案 (LAPS为) Active Directory 中的每台计算机提供自动本地管理员帐户管理。...简单点来说，很多管理员都喜欢用一个密码，那么我一个pth到域控那ntds拿下了，所以LAPS就为每台机器的本地管理员用户设置不同的随机的密码来解决这个问题，LAPS会把每台计算机的本地管理员账户存储在Active...Directory中，然后通过计算机相应的属性进行保护，计算机可以在 Active Directory 中更新自己的密码数据，并且域管理员可以向授权用户或组授予读取访问权限。...•向Active Directory说明密码下次到期的时间，将属性发送过去一起存储•更改管理员的密码 0x03 安装LAPS [自己去下载吧] https://www.microsoft.com/en-us...IrCeln.png 把MSSQL添加到PWAdmin组 IrCMwT.png 然后创建一个计算机OU，把mssql添加进计算组这个OU，点击mssql然后右键移动到计算机即可。
LAPS 将每台计算机的本地管理员帐户的密码存储在 Active Directory 中，并以计算机对应 Active Directory 对象的机密属性进行保护。...允许计算机在 Active Directory 中更新自己的密码数据，域管理员可以授予授权用户或组（例如工作站帮助台管理员）读取权限。...• 将密码报告给 Active Directory，并将其与计算机帐户的机密属性一起存储在 Active Directory 中。...• 向 Active Directory 报告密码的下一次到期时间，并将其与计算机帐户的属性一起存储在 Active Directory 中。 • 更改管理员帐户的密码。...• 使用任何选择的Active Directory 管理工具；提供了自定义工具，例如 Windows PowerShell。 • 防止计算机帐户被删除。 • 以最小的占用空间轻松实施解决方案。
Active Directory 是一个集中式数据库，用于描述公司的结构并包含有关不同对象（如用户、计算机、组和）的信息。以及它们在环境中的相互关系。...在活动目录中，可以创建用户帐户、组帐户、服务帐户、计算机帐户等形式的诱饵帐户。可以添加相关详细信息，使系统、服务、组等看起来更逼真。...并且在枚举 Active Directory 对象数据时，它还会枚举诱饵帐户，并可用于在发生侦察活动时发出警报。...Active Directory 域中的任何用户都可以查询其组织在域控制器上运行的 Active Directory。...image.png 配置诱饵用户、组和计算机对象 模仿诱饵帐户以使其看起来与其他 Active Directory 对象一样逼真，这一点很重要。
重点是使蜜罐帐户在 Active Directory 中看起来正常且“真实”，并且此前提应该在某种程度上可以移植到其他系统。...在大多数 Active Directory 环境中，我们可以作为普通 AD 用户（在某些情况下没有有效的 AD 凭据）扫描所有这些 AD 森林。...我介绍了 AdminCount 属性在 2015 年的用途（DerbyCon – “红色与蓝色 Active Directory 攻击与防御”）。...image.png 在添加到特权 AD 组（例如管理员、域管理员、企业管理员等）的任何 AD 帐户上，AdminCount 属性自动设置为 1。...Active Directory 的默认配置允许任何用户将 10 个计算机帐户添加到 AD 域（技术上更多，因为每个计算机帐户可以添加 10 个）。
域控制器在 Active Directory 中查找 SPN 并使用与 SPN 关联的服务帐户加密票证，以便服务验证用户访问权限。...访问 Active Directory 数据库文件 (ntds.dit) Active Directory 数据库 (ntds.dit) 包含有关 Active Directory 域中所有对象的所有信息...Active Directory 中有几个组大多数人不希望拥有域控制器的默认登录权限。...Account Operators 或 Print Operators 中的帐户，则 Active Directory 域可能会受到破坏，因为这些组具有域控制器的登录权限。...减轻： 限制有权登录到域控制器的组/帐户。 限制具有完整 Active Directory 权限的组/帐户，尤其是服务帐户。
链接的文章提供了一个 PowerShell 命令来查询域中所有已删除的对象：图片具体细节可以看这篇文章:https://blog.netwrix.com/2021/11/30/active-directory-object-recovery-recycle-bin...无需 AD 回收站的 Active Directory 对象恢复为了说明启用 AD 回收站的价值，让我们回顾一下在未启用 AD 回收站时恢复 AD 对象所涉及的内容。...在未启用 AD 回收站的域中，当删除 Active Directory 对象时，它会成为逻辑删除。...在编辑条目部分中，在属性字段中输入值“isDeleted” ，选择操作下的删除单选按钮，然后单击Enter按钮将条目添加到条目列表中。...在“编辑条目”部分中，在“属性”字段中输入值“distinguishedName” ，在“值”字段中输入删除之前对象的可分辨名称，选择“操作”下的“替换”单选按钮，然后单击“ Enter”按钮将条目添加到参赛名单
链接的文章提供了一个 PowerShell 命令来查询域中所有已删除的对象： 具体细节可以看这篇文章: https://blog.netwrix.com/2021/11/30/active-directory-object-recovery-recycle-bin...无需 AD 回收站的 Active Directory 对象恢复 为了说明启用 AD 回收站的价值，让我们回顾一下在未启用 AD 回收站时恢复 AD 对象所涉及的内容。...在未启用 AD 回收站的域中，当删除 Active Directory 对象时，它会成为逻辑删除。...在编辑条目部分中，在属性字段中输入值“isDeleted” ，选择操作下的删除单选按钮，然后单击Enter按钮将条目添加到条目列表中。...在“编辑条目”部分中，在“属性”字段中输入值“distinguishedName” ，在“值”字段中输入删除之前对象的可分辨名称，选择“操作”下的“替换”单选按钮，然后单击“ Enter”按钮将条目添加到参赛名单
LAPS组件 代理-组策略客户端扩展（CSE）-通过MSI安装 事件记录 随机密码生成-从客户端计算机写入AD计算机对象 PowerShell模块 权限配置 Active Directory-集中控制...LAPS将每台计算机的本地管理员帐户的密码存储在Active Directory中，并在计算机的相应Active Directory对象的安全属性中进行保护。...允许计算机在Active Directory中更新其自己的密码数据，并且域管理员可以向授权用户或组（如工作站服务台管理员）授予读取权限。...将密码报告给Active Directory，并将密码和机密属性一起存储在Active Directory中。...将密码的下一个到期时间报告给Active Directory，并将该属性与计算机帐户的属性一起存储在Active Directory中。 更改管理员帐户的密码。
如果在Active Directory GUI中设置了此配置，则它将类似于以下内容： ? 仍然在DC上时，还要更新User2帐户，以防止其受委派。可以使用“敏感帐户，不能委托”属性配置该帐户。...该帐户也可以成为“受保护的用户”组的成员。这些配置更改中的一个或两个都等效于此演示： 使用“帐户敏感且无法委派”属性配置User2： ? 将User2添加到“受保护的用户”组中： ?...将服务票证添加到缓存后，我们现在就可以像访问User2一样访问Service2了。我们拥有User2在Service2上的所有权限。...让我们使用PowerShell Active Directory模块检查我们新创建的机器帐户。由于该模块尚不可用，因此我们将安装相应的功能，导入该模块，然后检查我们新创建的计算机帐户。...由于User1（我们的受控立足帐户）对Service2对象具有写权限，因此我们可以将AttackerService添加到Service2的PrincipalsAllowedToDelegateToAccount
Sean Metcalf还提供了一些有关SPN的资源，其中包括有关Active Directory服务主体名称的系列资源，可在本文结尾处找到。...这些脚本是PowerShell AD Recon存储库的一部分，可以在Active Directory中查询服务，例如Exchange，Microsoft SQL，Terminal等。...Empire PowerShell Empire还有一个可显示域帐户的服务主体名称（SPN）的模块。...PowerShellery Scott Sutherland在将Get-SPN模块实现到Empire之前，已经创建了多个Powershell脚本作为PowerShellery的一部分，可以为各种服务收集...但是，无法使用基于token的身份验证，因此与Active Directory进行通信需要获取有效的域凭证。 .
大多数Active Directory管理员使用用户帐户登录到其工作站，然后使用RunAs（将其管理凭据放置在本地工作站上）或RDP连接到服务器运行Mimikatz读取密码，收集密码尝试登录管理员机器一般只要域管理员登录过的机器抓取都可以获取域控了...p=2398 活动目录数据库（NTDS.DIT） Active Directory域数据库存储在ntds.dit文件中（默认存储在c：WindowsNTDS中，AD数据库是Jet数据库引擎，它使用提供数据存储和索引服务的可扩展存储引擎...Active Directory哈希 mimikatz lsadump::lsa /inject exit 使用RID 502的帐户是KRBTGT帐户，使用RID 500的帐户是域的默认管理员。...获取对Active Directory数据库文件的访问权限（ntds.dit） Active Directory数据库（ntds.dit）包含有关Active Directory域中所有对对象的所有信息...这意味着组策略在目标计算机上执行配置的设置。 SYSVOL是所有经过身份验证的用户具有读取权限的Active Directory中的域范围共享。
用户帐户已被禁用 4726 用户帐户已删除 4727 已创建启用安全性的全局组 4728 已将成员添加到启用安全性的全局组中 4729 成员已从启用安全性的全局组中删除 4730 已删除启用安全性的全局组...4764 组类型已更改 4765 SID历史记录已添加到帐户中 4766 尝试将SID历史记录添加到帐户失败 4767 用户帐户已解锁 4768 请求了Kerberos身份验证票证（TGT）...Directory副本源命名上下文 4929 已删除Active Directory副本源命名上下文 4930 已修改Active Directory副本源命名上下文 4931 已修改Active...ActiveDirectory存储IPsec策略 5457 PAStore引擎无法在计算机上应用Active Directory存储IPsec策略 5458 PAStore引擎在计算机上应用了Active...Directory存储IPsec策略的本地缓存副本 5459 PAStore引擎无法在计算机上应用Active Directory存储IPsec策略的本地缓存副本 5460 PAStore引擎在计算机上应用了本地注册表存储
但在某些特殊情况下，可能会存在一个可供较低权限帐户访问的备份文件，该文件包含Active Directory（AD）数据库。...对于使用可逆加密存储密码的帐户，Active Directory用户和计算机（ADUC）中的帐户属性，会显示使用可逆加密存储密码的复选框。...以下是微软关于该设置的最佳实践提示： 即使它需要域管理员使用上面的方法，从Active Directory数据库中提取哈希值，也意味着DA（或被盗取的DA帐户）可以轻松地学习其他用户的密码。...Directory PowerShell模块中的cmdlet，默认情况下安装在Windows Server 2008 R2及更高版本上。...每个位代表有关该用户帐户的特定设置。例如，当帐户被禁用时，第二个低位被设置为“1”。在可逆加密的情况下，将第8个低位设置为“1”。第8个低位对应于十进制值128。
V-36432 高的 Domain Admins 组的成员身份必须仅限于仅用于管理 Active Directory 域和域控制器的帐户。 Domain Admins 组是一个高度特权的组。...作为系统管理员的人员必须仅使用具有必要权限级别的帐户登录到 Active Directory 系统.........V-36431 高的 Enterprise Admins 组的成员资格必须仅限于仅用于管理 Active Directory 林的帐户。 Enterprise Admins 组是一个高度特权的组。...作为系统管理员的人员必须仅使用具有权限级别的帐户登录到 Active Directory 系统......只有专门用于管理 Active Directory 的域系统才能用于远程管理 Active Directory。专门用于管理 Active Directory 的域系统将有助于...
领取专属 10元无门槛券
手把手带您无忧上云
