任何经过身份验证的域成员都可以连接到远程服务器的打印服务（spoolsv.exe），并请求对一个新的打印作业进行更新，令其将该通知发送给指定目标。...二、攻击域AD Server/管理员 前提条件 1.服务器可以是任何未修补的Windows Server或工作站，包括域控制器。...而此攻击链中攻击者删除了数据包中阻止从SMB转发到LDAP的标志。 4.通过滥用基于资源的约束Kerberos委派，可以在AD域控服务器上授予攻击者模拟任意域用户权限。包括域管理员权限。...（因为任何经过身份验证的用户都可以触发SpoolService反向连接） 漏洞利用攻击链 1.使用域内任意帐户，通过SMB连接到被攻击域控服务器，并指定中继攻击服务器。...接着触发辅助域控制器回连攻击主机，回连使用的认证用户是辅助域控制器本地计算机账户one.com/user这个账户。
通过这种攻击使得攻击者在仅有一个普通域账号的情况下可以远程控制 Windows 域内的任何机器，包括域控服务器。...支持，因为该攻击方式需要添加新的计算机账户，必须在LDAPS进行。...通过secretsdump dump出所有密码哈希值： 三、漏洞细节 此次的攻击流程有如下两个方式： Exchange攻击流程：使用任何AD帐户，通过SMB连接到目标Exchange服务器，并触发SpoolService...攻击者帐户使用DCSync转储AD中的所有密码哈希值。 Kerberos委派攻击流程：使用任何AD帐户，通过SMB连接到目标服务器，并触发SpoolService错误。...任何经过身份验证的域成员都可以连接到远程服务器的打印服务（spoolsv.exe），并请求对一个新的打印作业进行更新，令其将该通知发送给指定目标。
当你在任何一台域控制器内添加一个用户账号或其他信息后，此信息默认会同步到其他域控制器的活动目录数据库中。多个域控制器的好处在于当有域控制器出现故障了时，仍然能够由其他域控制器来提供服务。...这个步骤和上面我们搭建Windows Server 2012R2域功能级别一模一样，故不演示。我们直接从提升为域控制器开始操作。...注：当计算机加入域后，系统会自动将域管理员组中的用户添加到本地管理员组中。计算机原来的账号为本地账号，无法访问域中的资源，也无法将这些本地用户修改为域用户。...结合CES，它可以在用户设备未加入域或无法连接到域控的场景下实现基于策略的证书服务 这里Web服务器角色(IIS)描述以及注意事项，然后点击下一步。如图所示： 显示选择角色服务，保持默认即可。...至此，已经完成了LDAPS的配置了。可以使用ldp.exe来验证，如图所示，配置连接参数。 如图所示，打开 ldaps://AD.xie.com/ 成功。
服务的Windows活动目录内的任意域成员主机的攻击，在不需要任何密码等凭证的情况下即可获得域内任意主机SYSTEM权限。...因此，在没有配置LDAPS的域环境（默认LDAPS是被禁用的）中，攻击者无法通过LDAP创建新的计算机账号，便无法进行委派的配置，使得攻击链失效。...域控制器的操作系统为Windows Server 2012或更高版本。 2. 域控制器启用了LDAPS。...此外，本文中提到的LDAPS，也可作为缓解该攻击的方式之一，如不需要使用LDAPS和其他一些使用证书的相关服务，可以删除活动目录证书服务。...将此属性更改为0，则普通用户（包括计算机账户）无法添加新的计算机账号到活动目录中，从而缓解了基于资源的约束委派攻击。
这些网络包含连接到同一活动目录域的工作站，但是只有一个网段可以连接到外网。为了使用Cobalt Strike远程控制这两个网段中的工作站，我们构建了一个工具，该工具使用共享活动目录组件来构建通信通道。...构建高级LDAP信道 下图显示的是信道建立的处理流程： 依赖组件 该工具需要使用.NET 4.0进行编译，但理论上也可以使用其他版本的.NET Framework。...: 使用LDAPS代替LDAP -v: Verbose输出模式 -h: 显示工具帮助信息 If no AD credentials are...provided, integrated AD authentication will be used....LDAPS，此时常规的LDAP流量仍然会被加密。
)域中的特权，在这种情况下，枚举是关键，AD中的访问控制列表(ACL)经常被忽略，ACL定义了哪些实体对特定AD对象拥有哪些权限，这些对象可以是用户帐户、组、计算机帐户、域本身等等，ACL可以在单个对象上配置...Exchange Trusted Subsystem的成员身份 该工具的结果可以在下面的屏幕截图中看到 在此示例中我们使用了在安装Exchange期间配置的ACL配置，但是该工具不依赖于Exchange或任何其他产品来查找和利用链...权限可以立即提升到域管理员 现在可以使用impacket的secretsdump.py或Mimikatz来转储NTDS.dit哈希 如果攻击者拥有Exchange服务器的管理权限，就有可能提升域中的权限，而无需从系统中转储任何密码或机器帐户哈希...，从NT Authority\SYSTEM的角度连接到攻击者并使用NTLM进行身份验证，这足以对LDAP进行身份验证，下面的屏幕截图显示了用psexec.py调用的PowerShell函数Invoke-Webrequest...(SSL/TLS上的LDAP)，因为LDAPS被视为已签名的通道，唯一的缓解方法是在注册表中为LDAP启用通道绑定，如果要获得ntlmrelayx中的新特性，只需从GitHub更新到impacket的最新版本
关注172.22.11.45 - windows7 - MS17 6. MS17 一气呵成 7....使用Bloodhound收集到的用户名组合获取到的密码/hashes组合爆破，没发现其他新用户 2. MAQ = 0，加不了计算机 3....当前LDAP 没 TLS，远程也加不了计算机，impacket的addcomputer有两种方法samr和ldaps。...samr受到MAQ = 0的限制，无法添加计算机；ldaps受到 没TLS + MAQ = 0 的限制 4....域控存在nopac，当前用户yangmei对当前windows机器xr-desktop没WriteDacl权限，意味着无法修改SamAccountName 6.
当需要本地管理员密码时可直接从AD中读取，当然前提是有权限。 优点： 全自动，可配置的计算机本地管理员帐户更新 通过OU访问存储的密码的简单委派。...由于LAPS利用了Active Directory组件（组策略，计算机对象属性等），因此不需要其他服务器。...LAPS组件 代理-组策略客户端扩展（CSE）-通过MSI安装 事件记录 随机密码生成-从客户端计算机写入AD计算机对象 PowerShell模块 权限配置 Active Directory-集中控制...然后，允许这样做的用户可以从Active Directory中读取密码。合格的用户可以请求更改计算机的密码。 ? LDAPS安装部署 1.安装LAPS.exe组件 ?...3.删除默认的扩展权限 密码存储属于机密内容，如果对电脑所在的OU权限配置不对，可能会使非授权的用户能读取密码，所以从用户和组的权限中删除“All extended rights”属性的权限，不允许读取属性
在一个拥有数百甚至数千台接受低权限凭据的计算机的域中，您不希望仅仅通过收集其他低权限凭据来浪费时间。这给出了一个目标列表，以及许多其他内容。...然后，任何用户都可以从具有该帐户哈希密码（采用kerberos 5 tgs-rep格式）的SPN请求kerberos票证。...ST在命令下执行 使用–at exec参数在CME上执行有效负载时，可以将权限升级到SYSTEM权限 以下是使用非域管理员用户凭据的全新Windows 10安装中的POC ?...基本上，如果您能够在AD中更改计算机对象，你就可以接管该计算机权限。唯一的问题是需要有一个2012+域控制器，因为旧版本不支持基于资源的约束委派（RBCD）。...我从哪里开始使用PowerSploit？如果你想做一些恶意的事情，它有一个powershell模块。在搜索密码或任何字符串的情况下，PowerView是您的好助手。
https://github.com/lkarlslund/adalanche.git 接下来，切换至项目根目录，然后运行构建语句，针对我们的操作系统进行代码构建： go build 此时，我们将拿到针对Windows...工具使用 该工具将会尽可能地尝试进行自动化检测，因此我们可以直接让其在一台加入了Windows域的设备上运行，且无需任何参数： adalanche.exe 如果没有提供任何命令，该工具将会以导出分析模式运行...如果你在一台没有加入域的Windows设备或其他操作系统上运行，你至少需要使用“-domain”参数。...LDAPS（TLS，端口636）为默认配置，如果你使用的是实验室环境，并且没有配置证书，此时将出现连接错误，因为计算机不信任AD证书。
我在渗透测试领域看到的一个教育缺陷是当前涉及渗透Active Directory（AD）方面缺乏知识。不幸的是，OSCP并没有覆盖AD测试，甚至连sans-gpen课程也很少涉及它。...没有提供任何有关的信息，也没有任何登录凭据，也没有攻击范围，也没有进入客户公司前门的凭证，但是你可以设法从后门尾随进入，找到一个有IP电话的隐蔽房间。...如果什么都没有得到，可能是ICMP被禁用，那么网络上没有其他设备，或者由于您没有经过身份验证，您无法与其他设备通信，并且可能被身份安全解决方案（如Cisco ISE）阻止。...在继续之前，我想展示一些其他的方法，以防 Responder 程序不起作用。 2.mitm6 假设客户端的网络正在使用合法的WPAD PAC文件，并且您的欺骗无法正常运行。...从密码喷洒和哈希传递到命令执行，它应该在每个渗透测试工具包中被使用 如果其他都失败了，我们可以尝试密码喷洒。这个方法之所以是最后一个，是因为密码被锁定。
必须从本地Kerberos领域到包含要求访问CDH集群的用户主体的中央AD领域建立单向跨领域信任。无需在中央AD领域中创建服务主体，也无需在本地领域中创建用户主体。 ?...Cloudera Manager无法从Active Directory删除条目。...当计算机加入AD域时，应注意确保身份管理产品不将服务主体名称（SPN）与主机主体相关联。例如，默认情况下，Centrify将HTTP SPN与主机主体相关联。...为AD启用SSL -Cloudera Manager应该能够通过LDAPS（TCP 636）端口连接到AD。...但是，如果由于某种原因您不能允许Cloudera Manager管理直接到AD的部署，则应该在AD中为在每个主机上运行的每个服务手动创建唯一帐户，并且必须为其提供相同的keytab文件。
不得信任特权帐户（例如属于任何管理员组的帐户）进行委派。允许信任特权帐户进行委派提供了一种方法......在使用 AD 站点的 AD 实施中，域... V-8551 中等的 域功能级别必须是 Windows 2003 或更高版本。 不允许在 DoD 中使用非供应商支持的 AD 版本。...AD的正常运行需要使用IP网口和协议来支持查询、复制、用户认证、资源授权等服务。至少，LDAP 或 LDAPS......V-8547 中等的 必须从 Pre-Windows 2000 Compatible Access 组中删除所有人和匿名登录组。...V-8521 低的 具有委派权限的用户帐户必须从 Windows 内置管理组中删除或从帐户中删除委派权限。 在 AD 中，可以委派帐户和其他 AD 对象所有权和管理任务。
必须从本地Kerberos领域到包含要求访问CDH集群的用户主体的中央AD领域建立单向跨领域信任。无需在中央AD领域中创建服务主体，也无需在本地领域中创建用户主体。 ?...Cloudera Manager无法从Active Directory删除条目。...当计算机加入AD域时，应注意确保身份管理产品不将服务主体名称（SPN）与主机主体相关联。例如，默认情况下，“集中化”将HTTP SPN与主机主体相关联。...为AD启用SSL -Cloudera Manager应该能够通过LDAPS（TCP 636）端口连接到AD。...但是，如果由于某种原因您不能允许Cloudera Manager管理直接到AD的部署，则应该在AD中为在每个主机上运行的每个服务手动创建唯一帐户，并且必须提供相同的keytab文件。
可能有这样一种情况在渗透测试期间，渗透测试人员连接到了Windows Active Directory forest其中一台计算机并获得了“Domain Admin”用户凭据和Web shell访问权限...这里，我们假设： 1、AD域控机器（queen.DC1.indishell.lab - 192.168.56.200） 2、被控制的Windows机器 - 连接到AD（LABONE - 192.168.56.101...） 3、管理获取Windows AD域管理用户（你可以使用任何可用的exploit，在这里我使用的是“MS14-025”来获得域管理员用户密码的） 现在，我可以在Windows机器上进行访问web shell...psexec文件将远程执行Windows AD域控计算机上的vssadmin命令。...\GLOBALROOT\Device\HarddiskVolumeShadowCopy5\Windows\System32\config\SYSTEM” 让我们使用以下命令从目标Windows AD域控机器复制
重放攻击在任何网络通过程中都可能发生，是黑客常用的攻击方式之一。...NTLM重放攻击原理示意图 我们从图上最简单的场景开始。...HTTP、POP3、SMTP、LDAP、SMB等应用层服务，不仅仅支持NTLM协议，还支持其他众多认证协议，例如Kerberos、NTLM、BASIC、MD等，这就注定应用层协议不能集成认证协议。...HTTPS Web服务，访问用户电子邮件（通过中继到OWA服务器）、连接到云资源（通过中继到ADFS服务器）等各种操作； 4、强制LDAPS签名，在域服务器上强制启用LDAP签名和LDAPS安全通道绑定...由于没有交换，中间人攻击者无法获取SessionKey。
该安全漏洞 CVE-2021-22048 由 CrowdStrike 的 Yaron Zinar 和 Sagi Sheinfeld 在 vCenter Server 的 IWA（集成 Windows 身份验证...）机制中发现，影响范围涉及到了 VMware 的 Cloud Foundation 混合云平台部署，具有非管理访问权限的攻击者可以利用漏洞，在未打补丁的服务器上将权限提升到更高权限组。...为了阻止攻击尝试，VMware 建议管理员从受影响的集成 Windows 身份验证 (IWA) 切换到 Active Directory over LDAPs 身份验证或 AD FS 身份提供程序联合身份验证
而这也是我们将本文中讨论的内容 委派介绍 Kerberos委派使服务能够模拟计算机或用户以便使用用户的特权和权限参与第二个服务，为什么委派是必要的经典例证呢，例如：当用户使用Kerberos或其他协议向...在计算机帐户上，管理员可以为不受限制的委派设置以下属性 AD用户和计算机->计算机->信任此计算机来委派任何服务 无约束委托的主要特征是: 通常该权限授予运行IIS和MSSQL等服务的计算机，因为这些计算机通常需要一些到其他资源的后端连接...当被授予委派权限时这些计算机会请求用户的TGT并将它们存储在缓存中 这个TGT可以代表经过身份验证的用户访问后端资源 代理系统可以使用这个TGT请求访问域中的任何资源 攻击者可以通过使用用户委派...$系统的Kerberos身份验证 假设2:攻击者有权访问加入域系统(这里是在该系统上运行的powershell窗口) 用户:管理员 在现实生活中您可能无法直接访问DC系统，为了简单起见我们在DC安装了IIS...Invoke-WebRequest http://dc1.offense.local -UseDefaultCredentials -UseBasicParsing 如您所见Rubeus现在我们已经从用户
Active Directory 证书服务 (AD CS) Active Directory 证书服务 (AD CS) 提供公钥基础结构 (PKI) 功能，该功能支持 Windows 域上的身份和其他安全功能...网络设备注册服务 (NDES) 通过该组件，路由器、交换机和其他网络设备可以从 AD CS 获取证书。...证书注册 Web 服务 (CES) 此组件用作运行 Windows 的计算机和 CA 之间的代理客户端。...CES 使用户、计算机或应用程序能够通过使用 Web 服务连接到 CA： 请求、更新和安装颁发的证书。 检索证书吊销列表 (CRL)。 下载根证书。 通过互联网或跨森林注册。...结合CES，它可以在用户设备未加入域或无法连接到域控制器的场景中实现基于策略的证书注册。 常见的CA 层次结构 常见的CA 层次结构有两个级别，根 CA 位于顶级，下级 CA 在第二级颁发。
• 使用任何选择的Active Directory 管理工具；提供了自定义工具，例如 Windows PowerShell。 • 防止计算机帐户被删除。 • 以最小的占用空间轻松实施解决方案。...Microsoft 安全公告 3062591包含有关 LAPS 的其他信息。 为什么这很重要？ LAPS解决了管理每台计算机的本地管理员帐户密码的难题，该密码通常仅在域帐户无法使用的情况下使用。...永久 VDI（相同的计算机名称）： 此过程与物理计算机相同，因为用户连接到相同的 VDI 映像，该映像仍然存在（注销时不会被破坏）。...非持久性 VDI（新计算机名）： 如果 VDI 工作站在每次连接时都有一个新计算机名（非持久性会话，新计算机映像作为用户登录的一部分启动），那么 LAPS 将在 LAPS 更新密码客户端运行并注意到 AD...LAPS 架构更新 安装 LAPS 客户端后，在进行任何其他配置之前，现在是使用 LAPS 计算机对象属性扩展 AD 架构的好时机。请记住在修改 AD 架构之前始终执行备份。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
