1. 域环境里的信息收集到底在收集什么先讲清楚概念很多刚接触内网安全的朋友第一次听到域环境下的信息收集这个说法第一反应是拿工具扫一扫。实际上在活动目录的环境里做信息摸排和我们平时在普通工作组里做的事完全不是一回事。工作组环境下每台机器各自为政账号密码都属于本机你在一台机器上查到什么信息基本只影响这台机器。域环境则不同所有成员机器都信任同一个集中认证中心——域控制器身份体系、组策略、资源访问权限都集中在这里。所以域环境里的信息收集核心不是扫端口而是围绕域控制器和活动目录展开的资产与权限梳理有哪些用户、有哪些组、谁在特权组里、哪些机器加入了域、组策略管到了哪里、域之间的信任关系是什么。这个环节的价值在于它决定了后续所有安全评估或者应急排查的方向。就像看病先做血常规和影像检查一样不先摸清域里的结构后面很多事情都是盲人摸象。我这里所说的信息收集边界是在获得授权的前提下用合法手段梳理域环境资产可以是渗透测试的起点也可以是安全运维的日常审计手段。通常来说域环境信息梳理分四层本机与身份层、活动目录对象层、策略与信任层、日志与痕迹层。本文就按这个逻辑把我在实际项目中梳理域环境信息的完整步骤、命令和踩坑经验写出来。2. 先迈过那道门槛授权范围、工具选型与输出规范的确定2.1 没有授权不谈收集先书面确认边界这是所有工作的第一个前提。我自己见过不止一次某公司的安全测试人员做了大量信息收集跑到最后一步才发现客户只授权了某个子网段域控制器根本不在授权范围内前面收集到的一堆域信息不但无用还会带来合规风险。所以拿到任务的第一件事是确认授权书里写的目标范围、允许的测试手法、禁止触碰的系统和数据范围。尤其是在域环境下一个查询命令如果写法不当有可能会触发大规模枚举或影响域控制器性能这类风险必须在动手之前就约定好。2.2 内置工具始终优先为什么别一上来就装软件域环境下做信息收集最顺手的永远是微软自带的东西whoami、net、dsquery、nltest、powershell的Active Directory模块。原因有三个。第一兼容性最好。域里的机器五花八门Windows版本从老到新都有自带的命令不需要额外装依赖出问题概率低。第二不容易被目标环境的安全设备盯上。一个可疑程序的落地和执行远比一条看起来像是管理员日常操作的内置命令更容易触发告警。第三命令本身的输出已经足够结构化。比如dsquery导出的用户列表、Get-ADUser的属性返回直接就能进Excel做分析。第三方工具当然有它的场景比如一些自动化程度更高的枚举工具能一次性把域用户、域管、会话、ACL关系全部可视化。但这些工具更适合在已经确认环境允许、且需要快速全面出报告的阶段使用不适合作为摸底起点。2.3 固定输出模板信息收集的成果最终是一份资产清单开始收集之前就要想清楚最后要产出什么形式的成果。我习惯用一个统一的资产清单模板包含以下维度维度记录内容备注主机资产计算机名、IP、所属OU、操作系统版本、是否启用分清加域与未加域机器用户资产登录名、显示名、是否启用、密码属性、所属组重点关注高权限组成员组资产组名、类型、嵌套关系、成员数量特权组单独列表策略资产组策略名称、链接位置、安全筛选、是否启用记录GPO的GUID信任资产信任类型、方向、信任对象本域与外部域的关系网络线索DNS后缀、子网划分、域控地址、时间源为后续分析做准备有了这个模板每做完一步就同步更新表格。等所有步骤跑完你会发现信息收集已经自然形成了一个可交付物而不是一堆零散的命令输出。3. 第一轮摸底从我是谁开始再顺藤摸瓜找域控3.1 当前用户的身份与组成员资格先确认你站在哪个位置很多人一上去就查域内用户列表这其实是顺序错了。第一步永远是先确认当前上下文的身份信息。原因很简单不同的身份能看到的域信息范围是不同的普通域用户的查询结果和域管理员能看到的内容有很大差距。常用的命令组合如下whoami whoami /groups whoami /priv echo %USERDOMAIN% echo %LOGONSERVER%运行完先看三件事当前登录的用户名是什么属于哪个域当前会话的组成员里有谁有没有Domain Admins、Enterprise Admins这类高权限组当前登录服务器是哪台域控这直接暴露了域控的大致位置。whoami /groups里有个容易被忽略的项——Everyone、Authenticated Users这类特殊SID它们代表的是隐含权限。一个用户哪怕不在任何特权组只要在某个ACL里被显式分配了权限他就能访问对应资源这个在后面的ACL分析环节要重点回顾。3.2 网络轮廓DNS、路由与域名的关系域环境下的DNS和普通互联网DNS差别很大域内DNS记录往往直接反映了整个内网的拓扑。我通常按这个顺序看ipconfig /all arp -a route print nslookup %USERDNSDOMAIN% nslookup -typeSRV _ldap._tcp.dc._msdcs.%USERDNSDOMAIN%ipconfig /all里优先关注DNS后缀和DNS服务器地址。域内机器的主DNS通常就是域控而DNS后缀五花八门恰恰说明这个网络可能不是纯正的微软体系后期分析要留个心眼。_ldap._tcp.dc._msdcs.这条SRV记录是定位域控的“官方手段”一个域内可能有多个域控这条记录会把它们都列出来。提示SRV记录查询不到的时候不代表没有域控有可能是网络隔离策略限制。这种情况先别急着下结论可以试试用nltest /dclist:域名它走的是另外的RPC通道很多时候反而能查到结果。3.3 域控的物理位置IP、机器名和角色的对应关系找到域控列表之后把机器名和IP对应起来。域控命名常有规律比如域控机器名多以DC开头或者整域采用类似内部项目的代号。这时候顺手记下nltest /dclist:域名 nltest /dsgetdc:域名 ping -a 域控IP如果当前环境允许还可以查看域控的时间服务配置因为域内时间同步默认向域控对齐通过w32tm /query /source能确认当前机器的时钟源是哪台机器。这些信息串起来基本就能画出一张初级的内网域结构草图了。4. 第二轮盘家底用活动目录查询把域内资产捞出来4.1 用户和计算机的枚举dsquery 的正确打开方式域环境信息收集里信息量最大的一步就是枚举活动目录中的用户和计算机对象。这里我优先用dsquery和PowerShell的Active Directory模块。dsquery user -limit 0 dsquery computer -limit 0 dsquery group -limit 0-limit 0的意思是不限制返回条数适合整个域的清单导出。在拥有管理权限的机器上往往会再用AD模块换一种视角Get-ADUser -Filter * -Properties SamAccountName,DisplayName,Enabled,PasswordLastSet,LastLogonDate,CanonicalName Get-ADComputer -Filter * -Properties Name,OperatingSystem,Enabled,CanonicalName这一步分析的重点不是数量而是质量有多少用户是禁用状态但邮箱或显示名看起来像已离职员工。有多少计算机系统名和操作系统版本已经不匹配可能存在常年没有更新补丁的机器。有多少用户密码最后设置时间很久以前密码策略却允许弱口令。这些信息在后面形成报告时都是论据。一个口令最后修改时间在三年以前的域管理员账号比一百个普通用户账号更能说明域里的安全隐患。4.2 组成员与嵌套关系打开高权限组的黑盒域组的嵌套关系比想象中隐蔽。A组是B组的成员B组又嵌套在C组里这种多层嵌套常常让人漏掉真正拥有高权限的路径。我最常用的展开方式是这样的Get-ADGroupMember -Identity Domain Admins -Recursive Get-ADGroupMember -Identity Enterprise Admins -Recursive Get-ADGroupMember -Identity Schema Admins -Recursive Get-ADGroupMember -Identity Account Operators -Recursive还必须关注的是那些非默认的特张权限组。比如某个研发部门自己建了一个组把所有开发人员都拉进去然后顺手给了这个组对域控的本地管理员权限。这种组从名字上看完全人畜无害但实际权限高得吓人。所以不能只查内置特权组还要配合查看每个OU等关键对象的ACL。4.3 OU结构域内组织架构的天然地图OU不仅是组织架构更是组策略和委派权限的作用边界。用以下命令可以快速拉出OU树Get-ADOrganizationalUnit -Filter * -Properties CanonicalName,DistinguishedNameOU命名有时就能透露业务归属比如财务部研发中心离职员工。看OU的同时要注意哪些OU被做了委派管理哪些OU有特殊的组策略链接。一个OU如果被单独链接了策略通常意味着该OU下的对象有特殊需求这些需求往往就是风险聚集的地方。5. 第三轮深挖组策略、信任关系与历史遗留资产5.1 组策略隐藏在GPO里的真实域规则域环境下真正影响全域行为的不是某条命令而是组策略。GPO如果配置不当可能造成的结果包括脚本在用户登录时以高权限运行、本地管理员密码被统一设定且长期不换、防火墙规则完全放开等。查看方式Get-GPO -All | Select-Object DisplayName,ID,GpoStatus Get-GPInheritance -Target OU路径 | Format-List对安全审计来说我重点关注三类GPO脚本类策略登录脚本、启动脚本里面的命令往往能看出域管习惯。本地用户组策略例如Restricted Groups它可能把某个普通账号添加到本地管理员组。密码策略类检查域默认密码策略再检查是否有细粒度密码策略然后对比实际用户密码最后设置时间。5.2 域信任关系看似无害的一跳通道域信任关系的检查不需要复杂工具Windows自带命令即可nltest /trusted_domains nltest /domain_trusts /all_trusts信任关系本身不是漏洞但它决定了来自另一个域的身份能否访问本域资源。如果存在林间信任或外部信任我会把信任方向、信任类型记入资产表后续排查资源访问时重点关注信任路径上的敏感系统。5.3 历史遗留资产过时账号与幽灵机器大型域环境里历史遗留资产几乎是必然存在的。所谓历史遗留基本都是三类离职或转岗员工的账号未及时禁用或删除。旧机器从域移除或重装后机器账号还残留在活动目录里。某个项目临时建的组项目结束多年成员从未清理。Search-ADAccount -AccountDisabled -UsersOnly | Select-Object Name,DistinguishedName Get-ADComputer -Filter Enabled -eq $true -Properties OperatingSystem,LastLogonDate | Where-Object {$_.LastLogonDate -lt (Get-Date).AddMonths(-6)}这些历史账号之所以要单独梳理是因为它们既是安全审计时的高风险项也是事件排查时的重点候选者——很多实际发生的问题追根溯源都落到了某个忘了清理的旧账号上。6. 从防御视角看回来你的域环境正在被人收集吗做完上面几轮信息收集你其实已经掌握了域管理者日常最应该掌握的信息。这些信息对你自己来说是一份资产清单对有意入侵的其他人来说就是一份攻击路线图。所以收集完信息之后我习惯顺手做一次反向检查如果这些信息是被别人拿到的我的日志里会不会留下线索6.1 侦察行为的日志痕迹在域控里面找答案域环境下的大部分枚举行为最终都要落到域控的LDAP查询上。域控的安全日志里事件ID 4662专门记录对象访问对于开启目录服务访问审计的环境来说异常的LDAP枚举会产生大量4662事件。如果有人在短时间内查询了大量用户和组的属性日志里会有明显的密集记录。但我必须说实话默认的域环境日志配置往往不足以完整记录所有查询。4864、4662这类事件需要主动开启审核策略才能落到日志里。所以如果想知道自己的域环境有没有被陌生人打量过关键是先检查审核策略开了没有而不是直接翻日志。6.2 便宜的检测手段从海量日志里挑出异常对于预算有限、没有大型安全平台的场景最实际的做法是定期把域控的安全日志导出重点排查以下特征日志特征可能原因同一来源主机在短时间内查询大量域内所有用户批量枚举用户列表多次查询特定特权组Domain Admins等的成员关系侦察高权限路径非域控机器大量执行目录服务访问可疑扫描行为同一账号在多个机器上频繁登录失败后成功凭据尝试与横向移动如果出现了这些特征不要先去追攻击者而是先收紧信息暴露面关掉不必要的匿名LDAP访问、限制特权组的嵌套、加快清理历史账号。防御永远比侦察难做但反过来一旦你亲手做过了域环境的信息收集就会更清楚对方能看到什么也就知道该把窗户先堵上哪几扇。7. 实操总结我的建议、避坑清单与常用命令速查7.1 摸爬滚打之后最想说的几点体会第一域环境的权限边界对信息的可见性影响极大。普通域用户查到的内容和域管理员查到的内容可能差一个量级。所以信息收集的结果要标注信息来源权限否则容易误导后续决策。第二工具越简单越稳。在域控上执行第三方枚举工具很容易触发EDR告警甚至被当成事件直接处置。而Windows内置命令、PowerShell模块和合法管理接口反而最难被误伤。第三导出数据一定要分权保存。包含域内所有用户、组、OU信息和GPO列表的清单本身已经属于高度敏感数据。它的泄露风险等同于域内账号信息的泄露风险。我见过一些项目做完信息收集之后把报告扔在企业网盘里任意共享这等于把攻击者最需要的东西直接递了出去。7.2 避坑清单这些坑我建议你别踩不要在大域环境里不加过滤地跑全量查询某些命令可能会给域控带来额外负载。不要只记录命令输出而不记录时间点和来源机器后续审计报告需要可溯源。不要忽略PowerShell执行的日志痕迹本地PowerShell历史记录和脚本块日志都要在许可范围内妥善处理。不要只看是否在特权组ACL委派才是很多实际风险所在。不要在还没有确认授权范围时就把查询范围扩大到所有域和信任域。7.3 常用命令速查表目标命令说明查询当前身份与组whoami /all看完整令牌信息查看当前登录域控echo %LOGONSERVER%快速定位域控定位域控列表nltest /dclist:域名走RPC通道查询查询域信任关系nltest /domain_trusts /all_trusts查看全部信任枚举域用户dsquery user -limit 0全量用户清单枚举域计算机dsquery computer -limit 0全量机器清单查看特权组成员Get-ADGroupMember Domain Admins -Recursive递归展开嵌套查看组策略Get-GPO -All列举所有GPO查看OU结构Get-ADOrganizationalUnit -Filter *全量OU清单查看用户登录时间Get-ADUser -Filter * -Properties LastLogonDate分析活跃/不活跃用户这轮信息收集做完你应该能回答这几个问题域内有哪些关键资产高权限账号集中在谁手上组策略管了什么没管什么机器和账号的生命周期状态是否健康。在域环境的后续安全建设里这一份清单就是一切判断的地基。
1. 域环境里的信息收集到底在收集什么先讲清楚概念很多刚接触内网安全的朋友第一次听到域环境下的信息收集这个说法第一反应是拿工具扫一扫。实际上在活动目录的环境里做信息摸排和我们平时在普通工作组里做的事完全不是一回事。工作组环境下每台机器各自为政账号密码都属于本机你在一台机器上查到什么信息基本只影响这台机器。域环境则不同所有成员机器都信任同一个集中认证中心——域控制器身份体系、组策略、资源访问权限都集中在这里。所以域环境里的信息收集核心不是扫端口而是围绕域控制器和活动目录展开的资产与权限梳理有哪些用户、有哪些组、谁在特权组里、哪些机器加入了域、组策略管到了哪里、域之间的信任关系是什么。这个环节的价值在于它决定了后续所有安全评估或者应急排查的方向。就像看病先做血常规和影像检查一样不先摸清域里的结构后面很多事情都是盲人摸象。我这里所说的信息收集边界是在获得授权的前提下用合法手段梳理域环境资产可以是渗透测试的起点也可以是安全运维的日常审计手段。通常来说域环境信息梳理分四层本机与身份层、活动目录对象层、策略与信任层、日志与痕迹层。本文就按这个逻辑把我在实际项目中梳理域环境信息的完整步骤、命令和踩坑经验写出来。2. 先迈过那道门槛授权范围、工具选型与输出规范的确定2.1 没有授权不谈收集先书面确认边界这是所有工作的第一个前提。我自己见过不止一次某公司的安全测试人员做了大量信息收集跑到最后一步才发现客户只授权了某个子网段域控制器根本不在授权范围内前面收集到的一堆域信息不但无用还会带来合规风险。所以拿到任务的第一件事是确认授权书里写的目标范围、允许的测试手法、禁止触碰的系统和数据范围。尤其是在域环境下一个查询命令如果写法不当有可能会触发大规模枚举或影响域控制器性能这类风险必须在动手之前就约定好。2.2 内置工具始终优先为什么别一上来就装软件域环境下做信息收集最顺手的永远是微软自带的东西whoami、net、dsquery、nltest、powershell的Active Directory模块。原因有三个。第一兼容性最好。域里的机器五花八门Windows版本从老到新都有自带的命令不需要额外装依赖出问题概率低。第二不容易被目标环境的安全设备盯上。一个可疑程序的落地和执行远比一条看起来像是管理员日常操作的内置命令更容易触发告警。第三命令本身的输出已经足够结构化。比如dsquery导出的用户列表、Get-ADUser的属性返回直接就能进Excel做分析。第三方工具当然有它的场景比如一些自动化程度更高的枚举工具能一次性把域用户、域管、会话、ACL关系全部可视化。但这些工具更适合在已经确认环境允许、且需要快速全面出报告的阶段使用不适合作为摸底起点。2.3 固定输出模板信息收集的成果最终是一份资产清单开始收集之前就要想清楚最后要产出什么形式的成果。我习惯用一个统一的资产清单模板包含以下维度维度记录内容备注主机资产计算机名、IP、所属OU、操作系统版本、是否启用分清加域与未加域机器用户资产登录名、显示名、是否启用、密码属性、所属组重点关注高权限组成员组资产组名、类型、嵌套关系、成员数量特权组单独列表策略资产组策略名称、链接位置、安全筛选、是否启用记录GPO的GUID信任资产信任类型、方向、信任对象本域与外部域的关系网络线索DNS后缀、子网划分、域控地址、时间源为后续分析做准备有了这个模板每做完一步就同步更新表格。等所有步骤跑完你会发现信息收集已经自然形成了一个可交付物而不是一堆零散的命令输出。3. 第一轮摸底从我是谁开始再顺藤摸瓜找域控3.1 当前用户的身份与组成员资格先确认你站在哪个位置很多人一上去就查域内用户列表这其实是顺序错了。第一步永远是先确认当前上下文的身份信息。原因很简单不同的身份能看到的域信息范围是不同的普通域用户的查询结果和域管理员能看到的内容有很大差距。常用的命令组合如下whoami whoami /groups whoami /priv echo %USERDOMAIN% echo %LOGONSERVER%运行完先看三件事当前登录的用户名是什么属于哪个域当前会话的组成员里有谁有没有Domain Admins、Enterprise Admins这类高权限组当前登录服务器是哪台域控这直接暴露了域控的大致位置。whoami /groups里有个容易被忽略的项——Everyone、Authenticated Users这类特殊SID它们代表的是隐含权限。一个用户哪怕不在任何特权组只要在某个ACL里被显式分配了权限他就能访问对应资源这个在后面的ACL分析环节要重点回顾。3.2 网络轮廓DNS、路由与域名的关系域环境下的DNS和普通互联网DNS差别很大域内DNS记录往往直接反映了整个内网的拓扑。我通常按这个顺序看ipconfig /all arp -a route print nslookup %USERDNSDOMAIN% nslookup -typeSRV _ldap._tcp.dc._msdcs.%USERDNSDOMAIN%ipconfig /all里优先关注DNS后缀和DNS服务器地址。域内机器的主DNS通常就是域控而DNS后缀五花八门恰恰说明这个网络可能不是纯正的微软体系后期分析要留个心眼。_ldap._tcp.dc._msdcs.这条SRV记录是定位域控的“官方手段”一个域内可能有多个域控这条记录会把它们都列出来。提示SRV记录查询不到的时候不代表没有域控有可能是网络隔离策略限制。这种情况先别急着下结论可以试试用nltest /dclist:域名它走的是另外的RPC通道很多时候反而能查到结果。3.3 域控的物理位置IP、机器名和角色的对应关系找到域控列表之后把机器名和IP对应起来。域控命名常有规律比如域控机器名多以DC开头或者整域采用类似内部项目的代号。这时候顺手记下nltest /dclist:域名 nltest /dsgetdc:域名 ping -a 域控IP如果当前环境允许还可以查看域控的时间服务配置因为域内时间同步默认向域控对齐通过w32tm /query /source能确认当前机器的时钟源是哪台机器。这些信息串起来基本就能画出一张初级的内网域结构草图了。4. 第二轮盘家底用活动目录查询把域内资产捞出来4.1 用户和计算机的枚举dsquery 的正确打开方式域环境信息收集里信息量最大的一步就是枚举活动目录中的用户和计算机对象。这里我优先用dsquery和PowerShell的Active Directory模块。dsquery user -limit 0 dsquery computer -limit 0 dsquery group -limit 0-limit 0的意思是不限制返回条数适合整个域的清单导出。在拥有管理权限的机器上往往会再用AD模块换一种视角Get-ADUser -Filter * -Properties SamAccountName,DisplayName,Enabled,PasswordLastSet,LastLogonDate,CanonicalName Get-ADComputer -Filter * -Properties Name,OperatingSystem,Enabled,CanonicalName这一步分析的重点不是数量而是质量有多少用户是禁用状态但邮箱或显示名看起来像已离职员工。有多少计算机系统名和操作系统版本已经不匹配可能存在常年没有更新补丁的机器。有多少用户密码最后设置时间很久以前密码策略却允许弱口令。这些信息在后面形成报告时都是论据。一个口令最后修改时间在三年以前的域管理员账号比一百个普通用户账号更能说明域里的安全隐患。4.2 组成员与嵌套关系打开高权限组的黑盒域组的嵌套关系比想象中隐蔽。A组是B组的成员B组又嵌套在C组里这种多层嵌套常常让人漏掉真正拥有高权限的路径。我最常用的展开方式是这样的Get-ADGroupMember -Identity Domain Admins -Recursive Get-ADGroupMember -Identity Enterprise Admins -Recursive Get-ADGroupMember -Identity Schema Admins -Recursive Get-ADGroupMember -Identity Account Operators -Recursive还必须关注的是那些非默认的特张权限组。比如某个研发部门自己建了一个组把所有开发人员都拉进去然后顺手给了这个组对域控的本地管理员权限。这种组从名字上看完全人畜无害但实际权限高得吓人。所以不能只查内置特权组还要配合查看每个OU等关键对象的ACL。4.3 OU结构域内组织架构的天然地图OU不仅是组织架构更是组策略和委派权限的作用边界。用以下命令可以快速拉出OU树Get-ADOrganizationalUnit -Filter * -Properties CanonicalName,DistinguishedNameOU命名有时就能透露业务归属比如财务部研发中心离职员工。看OU的同时要注意哪些OU被做了委派管理哪些OU有特殊的组策略链接。一个OU如果被单独链接了策略通常意味着该OU下的对象有特殊需求这些需求往往就是风险聚集的地方。5. 第三轮深挖组策略、信任关系与历史遗留资产5.1 组策略隐藏在GPO里的真实域规则域环境下真正影响全域行为的不是某条命令而是组策略。GPO如果配置不当可能造成的结果包括脚本在用户登录时以高权限运行、本地管理员密码被统一设定且长期不换、防火墙规则完全放开等。查看方式Get-GPO -All | Select-Object DisplayName,ID,GpoStatus Get-GPInheritance -Target OU路径 | Format-List对安全审计来说我重点关注三类GPO脚本类策略登录脚本、启动脚本里面的命令往往能看出域管习惯。本地用户组策略例如Restricted Groups它可能把某个普通账号添加到本地管理员组。密码策略类检查域默认密码策略再检查是否有细粒度密码策略然后对比实际用户密码最后设置时间。5.2 域信任关系看似无害的一跳通道域信任关系的检查不需要复杂工具Windows自带命令即可nltest /trusted_domains nltest /domain_trusts /all_trusts信任关系本身不是漏洞但它决定了来自另一个域的身份能否访问本域资源。如果存在林间信任或外部信任我会把信任方向、信任类型记入资产表后续排查资源访问时重点关注信任路径上的敏感系统。5.3 历史遗留资产过时账号与幽灵机器大型域环境里历史遗留资产几乎是必然存在的。所谓历史遗留基本都是三类离职或转岗员工的账号未及时禁用或删除。旧机器从域移除或重装后机器账号还残留在活动目录里。某个项目临时建的组项目结束多年成员从未清理。Search-ADAccount -AccountDisabled -UsersOnly | Select-Object Name,DistinguishedName Get-ADComputer -Filter Enabled -eq $true -Properties OperatingSystem,LastLogonDate | Where-Object {$_.LastLogonDate -lt (Get-Date).AddMonths(-6)}这些历史账号之所以要单独梳理是因为它们既是安全审计时的高风险项也是事件排查时的重点候选者——很多实际发生的问题追根溯源都落到了某个忘了清理的旧账号上。6. 从防御视角看回来你的域环境正在被人收集吗做完上面几轮信息收集你其实已经掌握了域管理者日常最应该掌握的信息。这些信息对你自己来说是一份资产清单对有意入侵的其他人来说就是一份攻击路线图。所以收集完信息之后我习惯顺手做一次反向检查如果这些信息是被别人拿到的我的日志里会不会留下线索6.1 侦察行为的日志痕迹在域控里面找答案域环境下的大部分枚举行为最终都要落到域控的LDAP查询上。域控的安全日志里事件ID 4662专门记录对象访问对于开启目录服务访问审计的环境来说异常的LDAP枚举会产生大量4662事件。如果有人在短时间内查询了大量用户和组的属性日志里会有明显的密集记录。但我必须说实话默认的域环境日志配置往往不足以完整记录所有查询。4864、4662这类事件需要主动开启审核策略才能落到日志里。所以如果想知道自己的域环境有没有被陌生人打量过关键是先检查审核策略开了没有而不是直接翻日志。6.2 便宜的检测手段从海量日志里挑出异常对于预算有限、没有大型安全平台的场景最实际的做法是定期把域控的安全日志导出重点排查以下特征日志特征可能原因同一来源主机在短时间内查询大量域内所有用户批量枚举用户列表多次查询特定特权组Domain Admins等的成员关系侦察高权限路径非域控机器大量执行目录服务访问可疑扫描行为同一账号在多个机器上频繁登录失败后成功凭据尝试与横向移动如果出现了这些特征不要先去追攻击者而是先收紧信息暴露面关掉不必要的匿名LDAP访问、限制特权组的嵌套、加快清理历史账号。防御永远比侦察难做但反过来一旦你亲手做过了域环境的信息收集就会更清楚对方能看到什么也就知道该把窗户先堵上哪几扇。7. 实操总结我的建议、避坑清单与常用命令速查7.1 摸爬滚打之后最想说的几点体会第一域环境的权限边界对信息的可见性影响极大。普通域用户查到的内容和域管理员查到的内容可能差一个量级。所以信息收集的结果要标注信息来源权限否则容易误导后续决策。第二工具越简单越稳。在域控上执行第三方枚举工具很容易触发EDR告警甚至被当成事件直接处置。而Windows内置命令、PowerShell模块和合法管理接口反而最难被误伤。第三导出数据一定要分权保存。包含域内所有用户、组、OU信息和GPO列表的清单本身已经属于高度敏感数据。它的泄露风险等同于域内账号信息的泄露风险。我见过一些项目做完信息收集之后把报告扔在企业网盘里任意共享这等于把攻击者最需要的东西直接递了出去。7.2 避坑清单这些坑我建议你别踩不要在大域环境里不加过滤地跑全量查询某些命令可能会给域控带来额外负载。不要只记录命令输出而不记录时间点和来源机器后续审计报告需要可溯源。不要忽略PowerShell执行的日志痕迹本地PowerShell历史记录和脚本块日志都要在许可范围内妥善处理。不要只看是否在特权组ACL委派才是很多实际风险所在。不要在还没有确认授权范围时就把查询范围扩大到所有域和信任域。7.3 常用命令速查表目标命令说明查询当前身份与组whoami /all看完整令牌信息查看当前登录域控echo %LOGONSERVER%快速定位域控定位域控列表nltest /dclist:域名走RPC通道查询查询域信任关系nltest /domain_trusts /all_trusts查看全部信任枚举域用户dsquery user -limit 0全量用户清单枚举域计算机dsquery computer -limit 0全量机器清单查看特权组成员Get-ADGroupMember Domain Admins -Recursive递归展开嵌套查看组策略Get-GPO -All列举所有GPO查看OU结构Get-ADOrganizationalUnit -Filter *全量OU清单查看用户登录时间Get-ADUser -Filter * -Properties LastLogonDate分析活跃/不活跃用户这轮信息收集做完你应该能回答这几个问题域内有哪些关键资产高权限账号集中在谁手上组策略管了什么没管什么机器和账号的生命周期状态是否健康。在域环境的后续安全建设里这一份清单就是一切判断的地基。
平方复杂度无法被常规优化消除｜TaoToken 统一 Key 通道实测)
