免责声明本文所有内容仅用于授权红蓝对抗、渗透测试学习研究禁止在未授权企业内网、生产域环境执行探测、攻击操作未授权访问属于违法行为。所有演示场景均为本地搭建 AD 靶场。目录1. 两套权限体系本地权限体系 VS AD 域权限体系1.1 本地权限体系1.2 AD 域权限体系1.3 两套体系交叉授权非常重要2. 本地账号完整解析本地普通用户、本地管理员2.1 本地普通用户Local Users 组2.2 本地管理员 Local Administrator2.3 域控制器 DC 机器特殊说明3. 域账号完整解析普通域用户域内置安全组详解3.1 普通域用户 Domain Users 组3.2 域内置安全组梳理4. 重点对比本地管理员 VS 域管理员一字之差天壤之别4.1 本地管理员单台机器4.2 域管理员 Domain Admins 组成员4.3 表格直观对比4.4 极易混淆场景举例5. 域内高阶权限Domain Admins、Enterprise Admins、Schema Admins5.1 Domain Admins域管理员组5.2 Enterprise Admins 企业管理员组5.3 Schema Admins 架构管理员组6. AD 访问控制 ACL、OU 组织单元权限很多人忽略的权限维度6.1 ACL 访问控制列表6.2 OU 组织单元权限6.3 权限继承7. 不同权限对应的攻击面拿到各类权限之后攻击者能干什么① 单台机器本地管理员权限非域控② 普通域用户权限③ 账号拥有部分 ACL 高危权限非域管理员组④ Domain Admins 域管理员权限⑤ Enterprise Admins 企业管理员8. 实战场景案例拆解理清权限混淆带来的坑案例 1拿到 web 服务器本地管理员尝试直接 RDP 域控失败案例 2BloodHound 看到账号对多台机器拥有 AdminTo 权限误以为是域管理员案例 3子域 Domain Admins 无法操作父域案例 4普通域用户没有加入任何高权限组却可以提权到域管理员9. BloodHound 视角看权限看懂攻击路径当中的权限含义10. 域环境权限常见误区汇总11. 蓝队运维视角域权限收敛最佳实践12. 学习总结最后关于网络安全技术储备一、网络安全黑客学习路线二、网络安全教程视频三、网络安全CTF实战案例四、网络安全面试题摘要很多刚入坑域渗透的朋友最容易踩坑的就是权限概念混淆。拿到一台服务器本地管理员权限就想着直接登录域控拿到普通域账号以为可以读写域内所有主机把本地管理员和域管理员画上等号复现网上域渗透教程屡屡失败。在 AD 活动目录域环境当中权限分为两大体系本机本地权限体系和域全局权限体系。本地管理员只作用于单台机器域管理员作用于整个域二者不能混为一谈。除此之外还有服务器本地普通用户、普通域用户、高权限域组、组织单元 OU 权限、资源 ACL 访问控制权限等一大堆概念。本文从零基础角度把域环境各类权限掰开揉碎讲解对比域用户、本地普通用户、本地管理员、域普通用户、域管理员、企业管理员之间的差异讲解权限作用范围、能干什么、不能干什么结合大量渗透实战场景举例同时梳理 AD 的 ACL 访问控制、组权限继承逻辑并且总结攻击者拿到不同权限之后可以开展哪些攻击动作以及蓝队运维如何做权限收敛。读完本篇之后能够看懂 BloodHound 猎鹰工具输出的权限关系理解各类域攻击前置权限条件避免靶场学得很好真实环境完全无从下手。适合内网渗透初学者、安全运维、红蓝对抗人员阅读。前言工作组模式下权限非常简单每一台电脑自己管好自己本机管理员掌控本机一切权限边界就是单台主机。当大量 Windows 机器加入 AD 域之后权限模型一下子变得复杂。一台机器上面同时存在两套账号体系本地账号体系 域账号体系。域账号可以登录本机域账号也可以被加入本机本地管理员组域内部又存在大量内置安全组不同安全组拥有不同范围的权限。很多网络安全教程直接上来讲黄金票据、DCSync、Kerberoasting但是没有讲清楚权限边界。很多人复制命令复现失败根本原因就是当前账号权限达不到攻击技术的前置要求。举几个新手高频错误认知我拿到了服务器 A 的本地管理员我就能登录域控。❌我拥有普通域用户账号我就可以读取所有服务器 C$ 盘。❌只要是域管理员就一定能管理多个森林里面所有域。❌把域用户加入某台机器本地管理员组这个账号就变成域管理员。❌想要学好域渗透第一件事就是搞懂权限的边界这个权限管多大范围哪些操作允许哪些操作做不到拿到这个权限之后攻击者可以做什么不可以做什么。1. 两套权限体系本地权限体系 VS AD 域权限体系只要计算机加入 AD 域主机内部就同时运行两套独立的权限模型两套体系账号可以互相交叉授权。1.1 本地权限体系存储位置本机磁盘 SAM 数据库C:\Windows\System32\config\SAM作用范围仅当前这一台计算机对其他机器完全无效。包含对象本地用户账号、本地组Administrators、Users、Guests 等。关键点就算主机已经加入域SAM 数据库依然完整保留本地账号依然可以登录本机。域成员服务器、员工办公电脑都存在 SAM域控制器 DC 特殊域控机器 SAM 数据库失效域控机器不再使用本地账号所有身份全部由 AD 数据库 ntds.dit 管理。简单说本地权限只管自己这台机器。你在 A 机器上是本地管理员这个身份不会自动带到 B 机器。1.2 AD 域权限体系存储位置域控制器 ntds.dit 活动目录数据库作用范围整个域域内所有加入域的计算机、用户、资源。包含对象域用户、域计算机账号、域安全组、OU 组织单元、ACL 访问控制列表。域账号信息不会保存在成员机器 SAM 文件中域账号登录机器的时候会把认证请求发送给域控校验身份。1.3 两套体系交叉授权非常重要Windows 支持把域账号添加到本机的本地组里面。举例把域账号testlab\zhangsan添加到服务器 01 的本地 Administrators 管理员组。效果zhangsan 这个域账号登录服务器 01 的时候拥有这台服务器本地管理员权限。但是zhangsan 依旧只是普通域用户不是域管理员。这个权限仅仅对服务器 01 生效不会自动扩散到服务器 02更不能登录域控制器。这个机制是内网横向移动非常核心的场景也是绝大多数新手最容易混淆的地方。对比项本地权限体系AD 域权限体系数据存储本机 SAM 文件域控 ntds.dit 数据库生效范围仅限单台主机整个域内所有域对象账号格式主机名 \ 用户名域名 \ 用户名域控制器 DCDC 机器 SAM 失效无可用本地账号DC 完全依赖 AD 域权限跨机器生效默认不跨机器需要手动配置每一台主机账号天然可以登录任意域成员主机受登录权限策略限制记忆口诀本地权限绑定机器域权限绑定整个域。域账号可以被授予单台机器本地权限但不代表升级成为域管理员。2. 本地账号完整解析本地普通用户、本地管理员本地账号存在于每一台域成员机器员工 PC、业务服务器域控制器除外。2.1 本地普通用户Local Users 组内置组Users 本地普通用户组。默认账号示例WIN10‑PC\user01权限范围仅限本机。能力可以登录本机桌面运行普通程序不能修改系统配置不能修改注册表关键项不能安装软件不能访问 C(、ADMIN)管理共享没有权限抓取本机 lsass 内存凭证。局限该账号权限只针对本机没有任何访问其他内网机器的权限。就算机器加入域本地普通用户也无法直接访问域资源。2.2 本地管理员 Local Administrator内置本地组Administrators。默认内置账号 Administrator。账号格式SRV‑WEB01\Administrator。权限范围仅仅针对当前这一台机器最高权限。在这台机器上面可以完成的操作完全控制系统增删改文件、修改系统配置、安装卸载软件读取 C(、ADMIN)管理共享读取本机 SAM 数据库抓取本机内存 lsass 进程导出内存中保存的各类凭证域账号 hash、票据修改本机本地组可以把域账号加入本机管理员组可以在本机开启后门、植入木马。⚠️重点本地管理员 ≠ 域管理员仅仅拥有 SRV‑WEB01 的本地管理员默认情况下❌不能直接登录域控制器❌不能读取其他服务器的 C$ 共享❌不能查询 AD 域数据库不能导出 ntds.dit❌没有域层面的任何权限。但是这里存在一个内网渗透非常经典的攻击场景如果企业运维偷懒内网所有服务器本地管理员账号密码全部相同。攻击者拿到一台机器本地管理员 NTLM Hash就可以使用 Pass‑the‑Hash 哈希传递横向移动到内网其他所有机器。注意哈希传递成功的前提目标机器的本地管理员账号密码 hash 和已获取 hash 一致这只是机器本地账号的凭证并不代表获得域管理员身份。2.3 域控制器 DC 机器特殊说明当一台 Windows 服务器提升成为域控制器之后本机 SAM 账号体系就被禁用。域控机器不再有可用本地 Administrator 账号所有身份认证全部交给 ntds.dit但是保留 DSRM 目录恢复模式账号这是一个独立账号平时不启用。很多新人拿到域成员服务器本地管理员尝试远程 RDP、SMB 访问域控全部失败根源就在这里域控不使用本地 SAM 账号做登录认证本地管理员账号对域控无效。3. 域账号完整解析普通域用户域内置安全组详解所有域账号全部存储在域控制器 ntds.dit 数据库。域账号可以登录域内任意一台域成员主机受本地安全策略、组策略允许登录设置限制。3.1 普通域用户 Domain Users 组所有新建的域用户默认自动加入Domain Users组。示例账号testlab\zhangsan。很多人小看普通域用户以为权限什么都干不了实际在内网渗透当中普通域用户是非常重要的起点。✅普通域用户默认拥有能力可以登录域内绝大多数域成员办公电脑服务器一般会禁止普通域用户登录访问 SYSVOL 域共享文件夹\\testlab.local\SYSVOL连接域控 389 端口 LDAP查询绝大多数 AD 对象域用户列表、计算机列表、SPN 服务主体名称请求 Kerberos TGS 服务票据如果账号关联 SPN可以触发 Kerberoasting 攻击访问域内允许访问的文件共享、业务系统❌普通域用户默认不能做的事情默认禁止登录域控制器 DC不能读取 ntds.dit 域数据库不能访问服务器 C(、ADMIN)管理共享除非被手动加入目标机器本地管理员组不能修改域内用户、组策略配置划重点普通域用户虽然权限低但是已经拿到了 AD 域的 “入场门票”可以做大量信息收集工作。很多护网真实场景攻击者从外网 Web 漏洞拿到 shell获取普通域用户身份以此作为起点开展整个内网域渗透。3.2 域内置安全组梳理AD 域安装完成之后自带大量内置安全组不同的组代表不同权限这是域权限体系核心。Domain Users所有普通域用户默认在此组域内基础身份。Domain Computers所有加入域的计算机对象全部属于这个组。注意计算机也是域内对象计算机账号同样拥有权限也可以成为攻击对象。Domain Admins 域管理员组本域最高权限组本文后面重点讲解。Enterprise Admins 企业管理员组仅森林根域存在管辖整个森林所有域。Schema Admins 架构管理员组修改 AD 活动目录架构森林最高权限。Account Operators 账号操作员可以管理域用户账号但是不能修改域管理员账号。属于高危权限容易提权。Group Policy Operators 组策略操作员拥有编辑组策略权限可以通过 GPO 下发恶意脚本实现域内提权。Print Operators 打印操作员管理打印服务该组账号可以本地登录域控属于危险组。运维经常踩坑为了运维方便把普通业务账号加入 Account Operators、Print Operators 等高权限内置组造成权限溢出。4. 重点对比本地管理员 VS 域管理员一字之差天壤之别这是整篇文章最重要的一节区分清楚二者域渗透就跨过第一道门槛。4.1 本地管理员单台机器来源本机 SAM 数据库。生效边界仅仅这一台主机。代表账号SRV‑01\Administrator能干什么完全接管当前机器可以抓取本机内存凭证如果本机有域账号登录内存中可以拿到域账号 hash。不能干什么对其他服务器、域控没有默认权限无法直接访问 AD 数据库不能读取 ntds.dit无法修改域用户、组策略重要链路如果这台机器上有域管理员登录过攻击者拿到这台机器本地管理员权限可以 dump lsass 内存从内存导出域管理员的 hash 或者 Kerberos 票据。拿到域管理员凭证之后才可以进一步拿下域控。也就是说本地管理员本身不代表域权限但是本地管理员有机会窃取登录在本机的高权限域账号内存凭证以此跳板获得域权限。这是内网非常经典的权限提升链路。4.2 域管理员 Domain Admins 组成员来源AD 域 ntds.dit 数据库。生效边界整个当前域的全部资源。账号示例testlab\Administrator✅域管理员默认能力可以登录域控制器 DC域内绝大多数域成员主机域管理员默认拥有该机器本地管理员权限可以读取 ntds.dit 数据库导出域内全部账号 NTLM Hash修改域用户、组、GPO 组策略执行 DCSync通过 LDAP 复制拿到全量域凭证访问所有机器 C(、ADMIN)管理共享。⚠️限制Domain Admins 仅仅管理当前所在域。如果存在父子域森林子域 Domain Admins默认没有父域权限不能直接操控父域资源想要跨域需要利用域信任关系。4.3 表格直观对比项目单台机器本地管理员Domain Admins 域管理员账号存储位置目标机器 SAM 文件域控 ntds.dit 数据库权限生效范围仅当前一台主机整个本域所有计算机、AD 对象是否可以登录域控❌默认不可以✅允许登录域控制器是否能导出 ntds.dit❌本机不是域控不存在 ntds.dit✅可以导出完整域账号哈希访问其他服务器 C$ 共享❌默认不行除非账号密码全网复用✅域内机器大多可以访问修改域用户、组策略❌没有域层面权限✅完整域管理权限获取凭证方式dump 本机 lsass只能拿到本机内存驻留凭证可以直接导出域全部账号凭证跨域权限完全无跨域能力仅本域不自动拥有父域 / 其他森林权限4.4 极易混淆场景举例场景将普通域用户 testlab\user01 加入服务器 SRV‑WEB 的本地 Administrators 组。user01 身份依旧是普通域用户不是域管理员。user01 权限仅在 SRV‑WEB 这台服务器上拥有本地管理员权限。user01 限制依旧不能登录域控不能读取其他服务器 C$ 盘不能修改域配置。很多新手在这里踩坑看到 BloodHound 显示该账号对某台机器有 AdminTo 权限就以为账号是域管理员。AdminTo 仅仅代表对这一台机器拥有管理员权限不等于域管理员。5. 域内高阶权限Domain Admins、Enterprise Admins、Schema AdminsAD 森林当中存在三个天花板级别的安全组权限逐级升高很多人分不清。5.1 Domain Admins域管理员组归属每一个域都独立拥有自己的 Domain Admins 组子域有子域自己的 Domain Admins。管辖范围仅限本域内部所有对象。权限可以登录本域域控导出本域 ntds.dit管理本域用户、计算机、GPO。局限子域 Domain Admins不会自动拥有父域权限。想要获取父域权限需要利用父子域信任关系进行攻击。5.2 Enterprise Admins 企业管理员组归属只存在森林根域子域没有这个组。管辖范围整个森林下面所有域父子域全部受管控。权限Enterprise Admins 成员自动加入每一个子域的 Domain Admins 组。拿下企业管理员等于掌控整个森林全部域。真实企业环境这个组里面账号数量极少一般只有森林根域少数运维账号。一旦攻击者获取 Enterprise Admins 权限整个森林沦陷。5.3 Schema Admins 架构管理员组归属仅森林根域管辖范围整个森林能力修改 AD 活动目录底层架构模板。属于 AD 最高权限几乎日常运维不会用到该组默认几乎没有成员。如果攻击者拿到 Schema Admins 权限可以篡改 AD 底层架构持久化后门清理痕迹难度极大。权限优先级排序Schema Admins Enterprise Admins Domain Admins 普通域用户。渗透实战小知识点拿到 Domain Admins ≠ 掌控其他子域拿到 Enterprise Admins 掌控森林全部域拿到 Schema Admins AD 森林完全沦陷。6. AD 访问控制 ACL、OU 组织单元权限很多人忽略的权限维度很多初学者理解域权限只看用户属于哪个安全组但是 AD 还有一套非常灵活的 ACL 访问控制列表权限。ACL 可以脱离安全组单独给某一个账号分配对指定对象的权限这也是大量域提权漏洞来源同时也是 BloodHound 猎鹰工具重点展示内容。6.1 ACL 访问控制列表AD 里面每一个对象用户、计算机、组、OU都附带 ACL 属性。ACL 记录哪些账号对这个对象拥有什么操作权限。可以授予的权限举例完全控制写入 DACL修改该对象自身 ACL 权限写入 member 属性把用户添加进组写入 servicePrincipalName修改 SPN制造 Kerberoasting 攻击点重置密码高危场景普通域用户 A被 ACL 授予对域管理员组的写入 member 权限。虽然 A 不属于任何高权限安全组但是 A 可以直接把自己添加进域管理员组实现提权。这个就是典型 ACL 滥用提权不属于传统安全组成员权限很多运维会忽略这种配置。BloodHound 工具的 “Abuse ACL” 攻击路径就是识别这类 ACL 权限漏洞。6.2 OU 组织单元权限OU 相当于 AD 里面的文件夹把用户、计算机归类。GPO 组策略绑定在 OU 上面。同时 OU 自身也有 ACL 权限。如果一个普通账号拥有某一个 OU 的写入权限就可以修改这个 OU 下面对象属性如果拥有 GPO 编辑权限可以下发恶意 GPO 脚本控制 OU 下面全部机器。运维经常为了方便给业务运维账号开放某个 OU 完全控制权限如果配置不当会造成权限溢出。6.3 权限继承OU 的 ACL 权限会向下继承OU 下面所有用户、计算机自动继承上级 OU 的权限设置。上层 OU 配置错误会影响下面成千上万个 AD 对象。小结判断账号权限不能只看用户属于哪个组还要看 ACL 赋予的额外对象权限。很多真实域环境的提权并不是依靠加入高权限组而是滥用 ACL 权限。7. 不同权限对应的攻击面拿到各类权限之后攻击者能干什么站在红队攻击者视角梳理不同权限对应的攻击动作理清攻击链路前置条件。① 单台机器本地管理员权限非域控Dump 本机 SAM拿到本机本地账号哈希Dump lsass 内存抓取内存驻留凭证如果曾经有域用户甚至域管理员登录这台机器内存中可以拿到域账号 hash、票据如果全网机器本地管理员账号密码相同PtH 哈希传递横向到其他主机在本机植入后门、木马读取本机磁盘上的配置文件寻找明文密码限制没有直接操作域的权限必须窃取登录本机的域高权限凭证才能进一步向域控推进。② 普通域用户权限LDAP 查询枚举域全部用户、计算机、SPN、组访问 SYSVOL 共享寻找遗留 GPP 明文密码、硬编码密码脚本枚举 SPN执行 Kerberoasting爆破 TGS 票据参与 NTLM 中继、PetitPotam 强制认证等攻击寻找 ACL 配置缺陷、OU 权限缺陷进行提权登录允许普通域用户登录的办公主机再从主机抓取内存凭证普通域用户是内网渗透非常关键的起点很多攻击不需要管理员普通域账号即可执行。③ 账号拥有部分 ACL 高危权限非域管理员组可以重置高权限账号密码可以向高权限组添加成员可以修改对象 SPN可以编辑 GPO 组策略实现域内提权直接获取域管理员同等效果。④ Domain Admins 域管理员权限登录域控制器导出 ntds.dit获取域内全部账号 NTLM 哈希DCSyncLDAP 目录复制获取全部凭证创建黄金票据、白银票据修改域内任意账号、GPO访问域内几乎所有主机管理共享批量控机部署多种域持久化后门DSRM、SID‑History、异常 GPO 等。⑤ Enterprise Admins 企业管理员掌控整个森林跨子域进行操作获取全部森林域凭证。8. 实战场景案例拆解理清权限混淆带来的坑案例 1拿到 web 服务器本地管理员尝试直接 RDP 域控失败现象攻击者拿到SRV‑WEB本地管理员使用该账号 hash 尝试 SMB、RDP 连接域控全部拒绝访问。原因域控制器不使用本地 SAM 账号认证web 服务器本地管理员账号对域控完全无效。可行攻击路径在 web 服务器 dump lsass 内存如果曾经有域管理员登录过 web 服务器内存拿到域管理员凭证再使用域管理员凭证访问域控。案例 2BloodHound 看到账号对多台机器拥有 AdminTo 权限误以为是域管理员现象zhangsan 账号对 5 台业务服务器 AdminTo本地管理员但是不能登录域控。解释AdminTo 代表该域账号被添加到这 5 台机器本地管理员组只是单台机器权限不是域管理员身份。想要拿下域控需要在这 5 台机器寻找域管理员登录留下的内存凭证。案例 3子域 Domain Admins 无法操作父域环境森林根域 testlab.local子域 child.testlab.local。攻击者拿到子域 Domain Admins。现象无法读取根域 ntds.dit不能登录根域控。解释子域 Domain Admins 只管子域没有父域权限需要利用域信任关系跨域攻击。案例 4普通域用户没有加入任何高权限组却可以提权到域管理员现象普通用户 lisi不在 Domain Admins但是可以把自己添加进域管理员组。根因AD ACL 配置错误lisi 账号被授予 Domain Admins 组写入 member 权限。这是 ACL 滥用不是组成员权限。9. BloodHound 视角看权限看懂攻击路径当中的权限含义BloodHound 猎鹰是域渗透必备工具很多人看不懂图谱上面权限关系结合本文做解释。AdminTo代表该账号对目标计算机拥有本地管理员权限。⚠️注意仅这一台机器不等于域管理员。MemberOf代表用户属于某个安全组比如 MemberOf Domain Admins代表真正域管理员。WriteDacl / WriteMemberACL 高危权限可以修改对象权限、组成员属于可滥用提权路径。GenericAll 完全控制对用户 / 组 / OU 拥有全部控制权限可直接提权。实战判断账号是否是真正域管理员优先看MemberOf - Domain Admins而不是看 AdminTo 关系。AdminTo 只是单台机器本地管理权限。很多新人拿到 BloodHound 结果看到一堆 AdminTo 就以为拿到域权限结果测试发现无法操作域控就是混淆 AdminTo 和 MemberOf。10. 域环境权限常见误区汇总❌误区 1拥有机器本地管理员 域管理员。✅纠正本地管理员只绑定单台机器想要域权限需要窃取本机内存的域高权限凭证。❌误区 2普通域用户什么都做不了。✅纠正普通域用户可以 LDAP 全量信息收集、Kerberoasting、访问 SYSVOL是内网非常重要攻击起点。❌误区 3把域用户加入某台服务器本地管理员该账号升级成为域管理员。✅纠正只是拥有这一台机器本地权限域层面依旧普通账号。❌误区 4子域 Domain Admins 自动拥有父域权限。✅纠正Domain Admins 仅限本域跨域需要 Enterprise Admins 或者利用域信任漏洞。❌误区 5只要不在高权限组账号就没有提权风险。✅纠正ACL 访问控制列表可以脱离安全组赋予高危权限是很多企业环境忽略点。❌误区 6域管理员一定可以登录域内每一台机器。✅纠正如果目标机器组策略设置拒绝 Domain Admins 登录域管理员也会被拦截现实极少配置但存在这种可能性。❌误区 7域控制器上面也可以使用本地 Administrator 账号登录。✅纠正提升为域控之后SAM 本地账号失效只有 DSRM 恢复模式账号平时默认禁用。11. 蓝队运维视角域权限收敛最佳实践从防御角度针对权限做安全加固收缩攻击面。严格管控 Domain Admins、Enterprise Admins 组成员数量尽量少的账号加入域管理员组日常运维不要使用域管理员账号登录普通业务服务器、员工办公 PC。风险域管理员登录普通服务器如果服务器被攻陷攻击者 dump 内存直接拿到域管理员凭证整个域沦陷。禁止业务账号随意加入服务器本地管理员组最小权限原则业务账号需要管理服务器仅给必要机器分配本地管理员权限避免大范围 AdminTo 关系。杜绝全网服务器本地管理员账号密码一致。关注 ACL 访问控制权限定期审计 AD 对象 ACL定期使用工具扫描异常 WriteDacl、GenericAll 高危 ACL 权限很多运维只审计安全组成员忽略 ACL。限制高权限域账号登录范围通过组策略限制 Domain Admins 只允许登录域控制器禁止登录业务服务器和员工终端。避免高权限域账号凭证遗留在普通服务器 lsass 内存当中。这是非常关键防护手段防止跳板窃取域管理员凭证。审计高危内置组Account Operators、Print Operators、Group Policy Operators非业务需要不要往这些组放入普通业务账号。区分运维账号日常运维使用普通域账号执行域管理操作才临时使用域管理员账号用完注销会话减少凭证驻留内存时间。定期 BloodHound 审计域权限关系提前发现危险攻击路径。最重要安全理念域管理员凭证不应该出现在域控以外的机器内存里面。一旦域管理员登录普通服务器这台服务器就等同于域控同等风险。12. 学习总结AD 域同时运行两套权限体系本地权限绑定单台主机域权限绑定整个域。本地管理员单台机器至高权限但对域控、其他服务器没有原生权限风险点在于窃取登录本机的域高权限账号内存凭证。普通域用户域的基础身份虽然权限不高但可以执行大量信息收集与攻击是内网渗透常见起点。Domain Admins 域管理员管控本域全部资源可以操控域控注意子域域管理员不能自动访问父域。Enterprise Admins 企业管理员管控整个 AD 森林全部域。除安全组成员之外ACL 访问控制列表是另外一套重要权限模型容易产生配置缺陷导致提权。内网域渗透很多失败不是工具的问题而是账号权限达不到攻击技术的前置条件。学习各类域攻击技术前先判断当前手里是什么权限能干什么不能干什么。理解权限边界之后再去学习 Kerberoasting、DCSync、黄金票据等攻击才能够真正理解攻击链路逻辑而不是单纯复制粘贴命令。最后关于网络安全技术储备网络安全是当今信息时代中非常重要的一环。无论是找工作还是感兴趣黑客都是未来职业选择中上上之选为了保护自己的网络安全学习网络安全知识是必不可少的。如果你是准备学习网络安全黑客或者正在学习下面这些你应该能用得上①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】 免责声明本文所有内容仅用于授权红蓝对抗、渗透测试学习研究禁止在未授权企业内网、生产域环境执行探测、攻击操作未授权访问属于违法行为。所有演示场景均为本地搭建 AD 靶场。目录1. 两套权限体系本地权限体系 VS AD 域权限体系1.1 本地权限体系1.2 AD 域权限体系1.3 两套体系交叉授权非常重要2. 本地账号完整解析本地普通用户、本地管理员2.1 本地普通用户Local Users 组2.2 本地管理员 Local Administrator2.3 域控制器 DC 机器特殊说明3. 域账号完整解析普通域用户域内置安全组详解3.1 普通域用户 Domain Users 组3.2 域内置安全组梳理4. 重点对比本地管理员 VS 域管理员一字之差天壤之别4.1 本地管理员单台机器4.2 域管理员 Domain Admins 组成员4.3 表格直观对比4.4 极易混淆场景举例5. 域内高阶权限Domain Admins、Enterprise Admins、Schema Admins5.1 Domain Admins域管理员组5.2 Enterprise Admins 企业管理员组5.3 Schema Admins 架构管理员组6. AD 访问控制 ACL、OU 组织单元权限很多人忽略的权限维度6.1 ACL 访问控制列表6.2 OU 组织单元权限6.3 权限继承7. 不同权限对应的攻击面拿到各类权限之后攻击者能干什么① 单台机器本地管理员权限非域控② 普通域用户权限③ 账号拥有部分 ACL 高危权限非域管理员组④ Domain Admins 域管理员权限⑤ Enterprise Admins 企业管理员8. 实战场景案例拆解理清权限混淆带来的坑案例 1拿到 web 服务器本地管理员尝试直接 RDP 域控失败案例 2BloodHound 看到账号对多台机器拥有 AdminTo 权限误以为是域管理员案例 3子域 Domain Admins 无法操作父域案例 4普通域用户没有加入任何高权限组却可以提权到域管理员9. BloodHound 视角看权限看懂攻击路径当中的权限含义10. 域环境权限常见误区汇总11. 蓝队运维视角域权限收敛最佳实践12. 学习总结最后关于网络安全技术储备一、网络安全黑客学习路线二、网络安全教程视频三、网络安全CTF实战案例四、网络安全面试题摘要很多刚入坑域渗透的朋友最容易踩坑的就是权限概念混淆。拿到一台服务器本地管理员权限就想着直接登录域控拿到普通域账号以为可以读写域内所有主机把本地管理员和域管理员画上等号复现网上域渗透教程屡屡失败。在 AD 活动目录域环境当中权限分为两大体系本机本地权限体系和域全局权限体系。本地管理员只作用于单台机器域管理员作用于整个域二者不能混为一谈。除此之外还有服务器本地普通用户、普通域用户、高权限域组、组织单元 OU 权限、资源 ACL 访问控制权限等一大堆概念。本文从零基础角度把域环境各类权限掰开揉碎讲解对比域用户、本地普通用户、本地管理员、域普通用户、域管理员、企业管理员之间的差异讲解权限作用范围、能干什么、不能干什么结合大量渗透实战场景举例同时梳理 AD 的 ACL 访问控制、组权限继承逻辑并且总结攻击者拿到不同权限之后可以开展哪些攻击动作以及蓝队运维如何做权限收敛。读完本篇之后能够看懂 BloodHound 猎鹰工具输出的权限关系理解各类域攻击前置权限条件避免靶场学得很好真实环境完全无从下手。适合内网渗透初学者、安全运维、红蓝对抗人员阅读。前言工作组模式下权限非常简单每一台电脑自己管好自己本机管理员掌控本机一切权限边界就是单台主机。当大量 Windows 机器加入 AD 域之后权限模型一下子变得复杂。一台机器上面同时存在两套账号体系本地账号体系 域账号体系。域账号可以登录本机域账号也可以被加入本机本地管理员组域内部又存在大量内置安全组不同安全组拥有不同范围的权限。很多网络安全教程直接上来讲黄金票据、DCSync、Kerberoasting但是没有讲清楚权限边界。很多人复制命令复现失败根本原因就是当前账号权限达不到攻击技术的前置要求。举几个新手高频错误认知我拿到了服务器 A 的本地管理员我就能登录域控。❌我拥有普通域用户账号我就可以读取所有服务器 C$ 盘。❌只要是域管理员就一定能管理多个森林里面所有域。❌把域用户加入某台机器本地管理员组这个账号就变成域管理员。❌想要学好域渗透第一件事就是搞懂权限的边界这个权限管多大范围哪些操作允许哪些操作做不到拿到这个权限之后攻击者可以做什么不可以做什么。1. 两套权限体系本地权限体系 VS AD 域权限体系只要计算机加入 AD 域主机内部就同时运行两套独立的权限模型两套体系账号可以互相交叉授权。1.1 本地权限体系存储位置本机磁盘 SAM 数据库C:\Windows\System32\config\SAM作用范围仅当前这一台计算机对其他机器完全无效。包含对象本地用户账号、本地组Administrators、Users、Guests 等。关键点就算主机已经加入域SAM 数据库依然完整保留本地账号依然可以登录本机。域成员服务器、员工办公电脑都存在 SAM域控制器 DC 特殊域控机器 SAM 数据库失效域控机器不再使用本地账号所有身份全部由 AD 数据库 ntds.dit 管理。简单说本地权限只管自己这台机器。你在 A 机器上是本地管理员这个身份不会自动带到 B 机器。1.2 AD 域权限体系存储位置域控制器 ntds.dit 活动目录数据库作用范围整个域域内所有加入域的计算机、用户、资源。包含对象域用户、域计算机账号、域安全组、OU 组织单元、ACL 访问控制列表。域账号信息不会保存在成员机器 SAM 文件中域账号登录机器的时候会把认证请求发送给域控校验身份。1.3 两套体系交叉授权非常重要Windows 支持把域账号添加到本机的本地组里面。举例把域账号testlab\zhangsan添加到服务器 01 的本地 Administrators 管理员组。效果zhangsan 这个域账号登录服务器 01 的时候拥有这台服务器本地管理员权限。但是zhangsan 依旧只是普通域用户不是域管理员。这个权限仅仅对服务器 01 生效不会自动扩散到服务器 02更不能登录域控制器。这个机制是内网横向移动非常核心的场景也是绝大多数新手最容易混淆的地方。对比项本地权限体系AD 域权限体系数据存储本机 SAM 文件域控 ntds.dit 数据库生效范围仅限单台主机整个域内所有域对象账号格式主机名 \ 用户名域名 \ 用户名域控制器 DCDC 机器 SAM 失效无可用本地账号DC 完全依赖 AD 域权限跨机器生效默认不跨机器需要手动配置每一台主机账号天然可以登录任意域成员主机受登录权限策略限制记忆口诀本地权限绑定机器域权限绑定整个域。域账号可以被授予单台机器本地权限但不代表升级成为域管理员。2. 本地账号完整解析本地普通用户、本地管理员本地账号存在于每一台域成员机器员工 PC、业务服务器域控制器除外。2.1 本地普通用户Local Users 组内置组Users 本地普通用户组。默认账号示例WIN10‑PC\user01权限范围仅限本机。能力可以登录本机桌面运行普通程序不能修改系统配置不能修改注册表关键项不能安装软件不能访问 C(、ADMIN)管理共享没有权限抓取本机 lsass 内存凭证。局限该账号权限只针对本机没有任何访问其他内网机器的权限。就算机器加入域本地普通用户也无法直接访问域资源。2.2 本地管理员 Local Administrator内置本地组Administrators。默认内置账号 Administrator。账号格式SRV‑WEB01\Administrator。权限范围仅仅针对当前这一台机器最高权限。在这台机器上面可以完成的操作完全控制系统增删改文件、修改系统配置、安装卸载软件读取 C(、ADMIN)管理共享读取本机 SAM 数据库抓取本机内存 lsass 进程导出内存中保存的各类凭证域账号 hash、票据修改本机本地组可以把域账号加入本机管理员组可以在本机开启后门、植入木马。⚠️重点本地管理员 ≠ 域管理员仅仅拥有 SRV‑WEB01 的本地管理员默认情况下❌不能直接登录域控制器❌不能读取其他服务器的 C$ 共享❌不能查询 AD 域数据库不能导出 ntds.dit❌没有域层面的任何权限。但是这里存在一个内网渗透非常经典的攻击场景如果企业运维偷懒内网所有服务器本地管理员账号密码全部相同。攻击者拿到一台机器本地管理员 NTLM Hash就可以使用 Pass‑the‑Hash 哈希传递横向移动到内网其他所有机器。注意哈希传递成功的前提目标机器的本地管理员账号密码 hash 和已获取 hash 一致这只是机器本地账号的凭证并不代表获得域管理员身份。2.3 域控制器 DC 机器特殊说明当一台 Windows 服务器提升成为域控制器之后本机 SAM 账号体系就被禁用。域控机器不再有可用本地 Administrator 账号所有身份认证全部交给 ntds.dit但是保留 DSRM 目录恢复模式账号这是一个独立账号平时不启用。很多新人拿到域成员服务器本地管理员尝试远程 RDP、SMB 访问域控全部失败根源就在这里域控不使用本地 SAM 账号做登录认证本地管理员账号对域控无效。3. 域账号完整解析普通域用户域内置安全组详解所有域账号全部存储在域控制器 ntds.dit 数据库。域账号可以登录域内任意一台域成员主机受本地安全策略、组策略允许登录设置限制。3.1 普通域用户 Domain Users 组所有新建的域用户默认自动加入Domain Users组。示例账号testlab\zhangsan。很多人小看普通域用户以为权限什么都干不了实际在内网渗透当中普通域用户是非常重要的起点。✅普通域用户默认拥有能力可以登录域内绝大多数域成员办公电脑服务器一般会禁止普通域用户登录访问 SYSVOL 域共享文件夹\\testlab.local\SYSVOL连接域控 389 端口 LDAP查询绝大多数 AD 对象域用户列表、计算机列表、SPN 服务主体名称请求 Kerberos TGS 服务票据如果账号关联 SPN可以触发 Kerberoasting 攻击访问域内允许访问的文件共享、业务系统❌普通域用户默认不能做的事情默认禁止登录域控制器 DC不能读取 ntds.dit 域数据库不能访问服务器 C(、ADMIN)管理共享除非被手动加入目标机器本地管理员组不能修改域内用户、组策略配置划重点普通域用户虽然权限低但是已经拿到了 AD 域的 “入场门票”可以做大量信息收集工作。很多护网真实场景攻击者从外网 Web 漏洞拿到 shell获取普通域用户身份以此作为起点开展整个内网域渗透。3.2 域内置安全组梳理AD 域安装完成之后自带大量内置安全组不同的组代表不同权限这是域权限体系核心。Domain Users所有普通域用户默认在此组域内基础身份。Domain Computers所有加入域的计算机对象全部属于这个组。注意计算机也是域内对象计算机账号同样拥有权限也可以成为攻击对象。Domain Admins 域管理员组本域最高权限组本文后面重点讲解。Enterprise Admins 企业管理员组仅森林根域存在管辖整个森林所有域。Schema Admins 架构管理员组修改 AD 活动目录架构森林最高权限。Account Operators 账号操作员可以管理域用户账号但是不能修改域管理员账号。属于高危权限容易提权。Group Policy Operators 组策略操作员拥有编辑组策略权限可以通过 GPO 下发恶意脚本实现域内提权。Print Operators 打印操作员管理打印服务该组账号可以本地登录域控属于危险组。运维经常踩坑为了运维方便把普通业务账号加入 Account Operators、Print Operators 等高权限内置组造成权限溢出。4. 重点对比本地管理员 VS 域管理员一字之差天壤之别这是整篇文章最重要的一节区分清楚二者域渗透就跨过第一道门槛。4.1 本地管理员单台机器来源本机 SAM 数据库。生效边界仅仅这一台主机。代表账号SRV‑01\Administrator能干什么完全接管当前机器可以抓取本机内存凭证如果本机有域账号登录内存中可以拿到域账号 hash。不能干什么对其他服务器、域控没有默认权限无法直接访问 AD 数据库不能读取 ntds.dit无法修改域用户、组策略重要链路如果这台机器上有域管理员登录过攻击者拿到这台机器本地管理员权限可以 dump lsass 内存从内存导出域管理员的 hash 或者 Kerberos 票据。拿到域管理员凭证之后才可以进一步拿下域控。也就是说本地管理员本身不代表域权限但是本地管理员有机会窃取登录在本机的高权限域账号内存凭证以此跳板获得域权限。这是内网非常经典的权限提升链路。4.2 域管理员 Domain Admins 组成员来源AD 域 ntds.dit 数据库。生效边界整个当前域的全部资源。账号示例testlab\Administrator✅域管理员默认能力可以登录域控制器 DC域内绝大多数域成员主机域管理员默认拥有该机器本地管理员权限可以读取 ntds.dit 数据库导出域内全部账号 NTLM Hash修改域用户、组、GPO 组策略执行 DCSync通过 LDAP 复制拿到全量域凭证访问所有机器 C(、ADMIN)管理共享。⚠️限制Domain Admins 仅仅管理当前所在域。如果存在父子域森林子域 Domain Admins默认没有父域权限不能直接操控父域资源想要跨域需要利用域信任关系。4.3 表格直观对比项目单台机器本地管理员Domain Admins 域管理员账号存储位置目标机器 SAM 文件域控 ntds.dit 数据库权限生效范围仅当前一台主机整个本域所有计算机、AD 对象是否可以登录域控❌默认不可以✅允许登录域控制器是否能导出 ntds.dit❌本机不是域控不存在 ntds.dit✅可以导出完整域账号哈希访问其他服务器 C$ 共享❌默认不行除非账号密码全网复用✅域内机器大多可以访问修改域用户、组策略❌没有域层面权限✅完整域管理权限获取凭证方式dump 本机 lsass只能拿到本机内存驻留凭证可以直接导出域全部账号凭证跨域权限完全无跨域能力仅本域不自动拥有父域 / 其他森林权限4.4 极易混淆场景举例场景将普通域用户 testlab\user01 加入服务器 SRV‑WEB 的本地 Administrators 组。user01 身份依旧是普通域用户不是域管理员。user01 权限仅在 SRV‑WEB 这台服务器上拥有本地管理员权限。user01 限制依旧不能登录域控不能读取其他服务器 C$ 盘不能修改域配置。很多新手在这里踩坑看到 BloodHound 显示该账号对某台机器有 AdminTo 权限就以为账号是域管理员。AdminTo 仅仅代表对这一台机器拥有管理员权限不等于域管理员。5. 域内高阶权限Domain Admins、Enterprise Admins、Schema AdminsAD 森林当中存在三个天花板级别的安全组权限逐级升高很多人分不清。5.1 Domain Admins域管理员组归属每一个域都独立拥有自己的 Domain Admins 组子域有子域自己的 Domain Admins。管辖范围仅限本域内部所有对象。权限可以登录本域域控导出本域 ntds.dit管理本域用户、计算机、GPO。局限子域 Domain Admins不会自动拥有父域权限。想要获取父域权限需要利用父子域信任关系进行攻击。5.2 Enterprise Admins 企业管理员组归属只存在森林根域子域没有这个组。管辖范围整个森林下面所有域父子域全部受管控。权限Enterprise Admins 成员自动加入每一个子域的 Domain Admins 组。拿下企业管理员等于掌控整个森林全部域。真实企业环境这个组里面账号数量极少一般只有森林根域少数运维账号。一旦攻击者获取 Enterprise Admins 权限整个森林沦陷。5.3 Schema Admins 架构管理员组归属仅森林根域管辖范围整个森林能力修改 AD 活动目录底层架构模板。属于 AD 最高权限几乎日常运维不会用到该组默认几乎没有成员。如果攻击者拿到 Schema Admins 权限可以篡改 AD 底层架构持久化后门清理痕迹难度极大。权限优先级排序Schema Admins Enterprise Admins Domain Admins 普通域用户。渗透实战小知识点拿到 Domain Admins ≠ 掌控其他子域拿到 Enterprise Admins 掌控森林全部域拿到 Schema Admins AD 森林完全沦陷。6. AD 访问控制 ACL、OU 组织单元权限很多人忽略的权限维度很多初学者理解域权限只看用户属于哪个安全组但是 AD 还有一套非常灵活的 ACL 访问控制列表权限。ACL 可以脱离安全组单独给某一个账号分配对指定对象的权限这也是大量域提权漏洞来源同时也是 BloodHound 猎鹰工具重点展示内容。6.1 ACL 访问控制列表AD 里面每一个对象用户、计算机、组、OU都附带 ACL 属性。ACL 记录哪些账号对这个对象拥有什么操作权限。可以授予的权限举例完全控制写入 DACL修改该对象自身 ACL 权限写入 member 属性把用户添加进组写入 servicePrincipalName修改 SPN制造 Kerberoasting 攻击点重置密码高危场景普通域用户 A被 ACL 授予对域管理员组的写入 member 权限。虽然 A 不属于任何高权限安全组但是 A 可以直接把自己添加进域管理员组实现提权。这个就是典型 ACL 滥用提权不属于传统安全组成员权限很多运维会忽略这种配置。BloodHound 工具的 “Abuse ACL” 攻击路径就是识别这类 ACL 权限漏洞。6.2 OU 组织单元权限OU 相当于 AD 里面的文件夹把用户、计算机归类。GPO 组策略绑定在 OU 上面。同时 OU 自身也有 ACL 权限。如果一个普通账号拥有某一个 OU 的写入权限就可以修改这个 OU 下面对象属性如果拥有 GPO 编辑权限可以下发恶意 GPO 脚本控制 OU 下面全部机器。运维经常为了方便给业务运维账号开放某个 OU 完全控制权限如果配置不当会造成权限溢出。6.3 权限继承OU 的 ACL 权限会向下继承OU 下面所有用户、计算机自动继承上级 OU 的权限设置。上层 OU 配置错误会影响下面成千上万个 AD 对象。小结判断账号权限不能只看用户属于哪个组还要看 ACL 赋予的额外对象权限。很多真实域环境的提权并不是依靠加入高权限组而是滥用 ACL 权限。7. 不同权限对应的攻击面拿到各类权限之后攻击者能干什么站在红队攻击者视角梳理不同权限对应的攻击动作理清攻击链路前置条件。① 单台机器本地管理员权限非域控Dump 本机 SAM拿到本机本地账号哈希Dump lsass 内存抓取内存驻留凭证如果曾经有域用户甚至域管理员登录这台机器内存中可以拿到域账号 hash、票据如果全网机器本地管理员账号密码相同PtH 哈希传递横向到其他主机在本机植入后门、木马读取本机磁盘上的配置文件寻找明文密码限制没有直接操作域的权限必须窃取登录本机的域高权限凭证才能进一步向域控推进。② 普通域用户权限LDAP 查询枚举域全部用户、计算机、SPN、组访问 SYSVOL 共享寻找遗留 GPP 明文密码、硬编码密码脚本枚举 SPN执行 Kerberoasting爆破 TGS 票据参与 NTLM 中继、PetitPotam 强制认证等攻击寻找 ACL 配置缺陷、OU 权限缺陷进行提权登录允许普通域用户登录的办公主机再从主机抓取内存凭证普通域用户是内网渗透非常关键的起点很多攻击不需要管理员普通域账号即可执行。③ 账号拥有部分 ACL 高危权限非域管理员组可以重置高权限账号密码可以向高权限组添加成员可以修改对象 SPN可以编辑 GPO 组策略实现域内提权直接获取域管理员同等效果。④ Domain Admins 域管理员权限登录域控制器导出 ntds.dit获取域内全部账号 NTLM 哈希DCSyncLDAP 目录复制获取全部凭证创建黄金票据、白银票据修改域内任意账号、GPO访问域内几乎所有主机管理共享批量控机部署多种域持久化后门DSRM、SID‑History、异常 GPO 等。⑤ Enterprise Admins 企业管理员掌控整个森林跨子域进行操作获取全部森林域凭证。8. 实战场景案例拆解理清权限混淆带来的坑案例 1拿到 web 服务器本地管理员尝试直接 RDP 域控失败现象攻击者拿到SRV‑WEB本地管理员使用该账号 hash 尝试 SMB、RDP 连接域控全部拒绝访问。原因域控制器不使用本地 SAM 账号认证web 服务器本地管理员账号对域控完全无效。可行攻击路径在 web 服务器 dump lsass 内存如果曾经有域管理员登录过 web 服务器内存拿到域管理员凭证再使用域管理员凭证访问域控。案例 2BloodHound 看到账号对多台机器拥有 AdminTo 权限误以为是域管理员现象zhangsan 账号对 5 台业务服务器 AdminTo本地管理员但是不能登录域控。解释AdminTo 代表该域账号被添加到这 5 台机器本地管理员组只是单台机器权限不是域管理员身份。想要拿下域控需要在这 5 台机器寻找域管理员登录留下的内存凭证。案例 3子域 Domain Admins 无法操作父域环境森林根域 testlab.local子域 child.testlab.local。攻击者拿到子域 Domain Admins。现象无法读取根域 ntds.dit不能登录根域控。解释子域 Domain Admins 只管子域没有父域权限需要利用域信任关系跨域攻击。案例 4普通域用户没有加入任何高权限组却可以提权到域管理员现象普通用户 lisi不在 Domain Admins但是可以把自己添加进域管理员组。根因AD ACL 配置错误lisi 账号被授予 Domain Admins 组写入 member 权限。这是 ACL 滥用不是组成员权限。9. BloodHound 视角看权限看懂攻击路径当中的权限含义BloodHound 猎鹰是域渗透必备工具很多人看不懂图谱上面权限关系结合本文做解释。AdminTo代表该账号对目标计算机拥有本地管理员权限。⚠️注意仅这一台机器不等于域管理员。MemberOf代表用户属于某个安全组比如 MemberOf Domain Admins代表真正域管理员。WriteDacl / WriteMemberACL 高危权限可以修改对象权限、组成员属于可滥用提权路径。GenericAll 完全控制对用户 / 组 / OU 拥有全部控制权限可直接提权。实战判断账号是否是真正域管理员优先看MemberOf - Domain Admins而不是看 AdminTo 关系。AdminTo 只是单台机器本地管理权限。很多新人拿到 BloodHound 结果看到一堆 AdminTo 就以为拿到域权限结果测试发现无法操作域控就是混淆 AdminTo 和 MemberOf。10. 域环境权限常见误区汇总❌误区 1拥有机器本地管理员 域管理员。✅纠正本地管理员只绑定单台机器想要域权限需要窃取本机内存的域高权限凭证。❌误区 2普通域用户什么都做不了。✅纠正普通域用户可以 LDAP 全量信息收集、Kerberoasting、访问 SYSVOL是内网非常重要攻击起点。❌误区 3把域用户加入某台服务器本地管理员该账号升级成为域管理员。✅纠正只是拥有这一台机器本地权限域层面依旧普通账号。❌误区 4子域 Domain Admins 自动拥有父域权限。✅纠正Domain Admins 仅限本域跨域需要 Enterprise Admins 或者利用域信任漏洞。❌误区 5只要不在高权限组账号就没有提权风险。✅纠正ACL 访问控制列表可以脱离安全组赋予高危权限是很多企业环境忽略点。❌误区 6域管理员一定可以登录域内每一台机器。✅纠正如果目标机器组策略设置拒绝 Domain Admins 登录域管理员也会被拦截现实极少配置但存在这种可能性。❌误区 7域控制器上面也可以使用本地 Administrator 账号登录。✅纠正提升为域控之后SAM 本地账号失效只有 DSRM 恢复模式账号平时默认禁用。11. 蓝队运维视角域权限收敛最佳实践从防御角度针对权限做安全加固收缩攻击面。严格管控 Domain Admins、Enterprise Admins 组成员数量尽量少的账号加入域管理员组日常运维不要使用域管理员账号登录普通业务服务器、员工办公 PC。风险域管理员登录普通服务器如果服务器被攻陷攻击者 dump 内存直接拿到域管理员凭证整个域沦陷。禁止业务账号随意加入服务器本地管理员组最小权限原则业务账号需要管理服务器仅给必要机器分配本地管理员权限避免大范围 AdminTo 关系。杜绝全网服务器本地管理员账号密码一致。关注 ACL 访问控制权限定期审计 AD 对象 ACL定期使用工具扫描异常 WriteDacl、GenericAll 高危 ACL 权限很多运维只审计安全组成员忽略 ACL。限制高权限域账号登录范围通过组策略限制 Domain Admins 只允许登录域控制器禁止登录业务服务器和员工终端。避免高权限域账号凭证遗留在普通服务器 lsass 内存当中。这是非常关键防护手段防止跳板窃取域管理员凭证。审计高危内置组Account Operators、Print Operators、Group Policy Operators非业务需要不要往这些组放入普通业务账号。区分运维账号日常运维使用普通域账号执行域管理操作才临时使用域管理员账号用完注销会话减少凭证驻留内存时间。定期 BloodHound 审计域权限关系提前发现危险攻击路径。最重要安全理念域管理员凭证不应该出现在域控以外的机器内存里面。一旦域管理员登录普通服务器这台服务器就等同于域控同等风险。12. 学习总结AD 域同时运行两套权限体系本地权限绑定单台主机域权限绑定整个域。本地管理员单台机器至高权限但对域控、其他服务器没有原生权限风险点在于窃取登录本机的域高权限账号内存凭证。普通域用户域的基础身份虽然权限不高但可以执行大量信息收集与攻击是内网渗透常见起点。Domain Admins 域管理员管控本域全部资源可以操控域控注意子域域管理员不能自动访问父域。Enterprise Admins 企业管理员管控整个 AD 森林全部域。除安全组成员之外ACL 访问控制列表是另外一套重要权限模型容易产生配置缺陷导致提权。内网域渗透很多失败不是工具的问题而是账号权限达不到攻击技术的前置条件。学习各类域攻击技术前先判断当前手里是什么权限能干什么不能干什么。理解权限边界之后再去学习 Kerberoasting、DCSync、黄金票据等攻击才能够真正理解攻击链路逻辑而不是单纯复制粘贴命令。最后关于网络安全技术储备网络安全是当今信息时代中非常重要的一环。无论是找工作还是感兴趣黑客都是未来职业选择中上上之选为了保护自己的网络安全学习网络安全知识是必不可少的。如果你是准备学习网络安全黑客或者正在学习下面这些你应该能用得上①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】