Active Directory安全攻防（四）

最新推荐文章于 2026-08-20 10:44:16 发布
原创 最新推荐文章于 2026-08-20 10:44:16 发布 · 11 阅读 · 0 GEO检测

在前几篇文章中，我们详细介绍了 Active Directory 的访问控制列表（ACL）机制——包括 ACL 与 ACE 的概念、DACL 自主访问控制模型、对象级与属性级的精细权限控制，以及权限继承机制。我们在防御建议中曾简要提到过 AdminSDHolder 保护机制，指出它能够每隔 60 分钟自动检查并重置受保护对象的 ACL。

那么，这个机制的具体工作原理是什么？它保护哪些账户？管理员如何配置和审计它？攻击者又可能如何利用或绕过它？

本篇文章将深入解析 Active Directory 中的安全描述符传播器（Security Descriptor Propagator，SDProp） 机制，这是 AD 为高权限管理员账户提供的一道关键安全防线。

一、SDProp 的基本概念

1.1 为什么需要 SDProp？

Active Directory 中存在一些拥有极高权限的账户——Domain Admins、Enterprise Admins、Schema Admins 等组的成员。这些账户一旦被攻击者篡改权限（例如通过 WriteDACL 给自己添加对这些账户的控制权），后果将是灾难性的。

为了应对这一风险，Active Directory 内置了一套自动化的权限保护机制——安全描述符传播器（SDProp）。

1.2 SDP

标签
#安全 #网络
了解本专栏 订阅专栏 解锁全文
Active Directory安全实战：五种常见漏洞利用与防御解析
weixin_34218579的博客
06-27 343
Active Directory（AD）作为企业身份认证与资源管理的核心，其安全性至关重要。AD域环境基于Kerberos认证协议和访问控制列表（ACL）等机制实现权限管理，但配置不当会引发严重风险。理解其工作原理有助于构建纵深防御体系。在渗透测试和红队评估中，攻击者常利用弱配置进行横向移动和权限提升，例如通过信息收集工具发现攻击路径。本文聚焦实战，详细解析了包括Kerberoasting和ACL滥用在内的五种最常见AD漏洞的利用手法与防御策略，并融入BloodHound和Responder等热词工具的应用
Active Directory委派攻击：从Kerberos原理到实战攻防
weixin_30781775的博客
06-18 341
在身份认证与访问控制领域，Kerberos协议作为企业级网络环境的核心认证机制，通过票据（Ticket）系统实现安全的双向身份验证。其工作原理涉及密钥分发中心（KDC）、票据授予票据（TGT）和服务票据（ST）的交互流程，确保了通信双方身份的可靠性。这一机制的技术价值在于为分布式系统提供了统一、高效的身份验证方案，广泛应用于Active Directory（AD）域环境等场景。然而，当Kerberos的委派（Delegation）功能配置不当或被恶意利用时，便可能演变为严重的横向移动与权限提升攻击面。攻击者
Active Directory 安全攻防（一）
idlecloud0105的博客
06-18 105
Active Directory 是微软在 Windows Server 2000 中首次引入的一项基础网络服务。身份认证（Authentication）：验证用户和计算机的身份合法性目录服务（Directory Service）：以结构化的方式存储和提供组织内各类对象的信息授权管理（Authorization）：控制经过认证的身份可以访问哪些资源。
Active Directory 安全攻防（十六）
idlecloud0105的博客
08-17 8
属性说明工具名称mimikatz开发者开源地址支持系统Windows 10及更早版本（持续更新）编译版本提供32位和64位预编译版本核心定位模块化凭据提取与操作框架许可方式开源，提供源代码mimikatz之所以成为Active Directory安全领域最具影响力的工具，不仅因为它的功能强大，更因为它系统性地揭示了Windows凭据管理机制中的设计缺陷。
Active Directory 安全攻防（二）
idlecloud0105的博客
06-25 204
层级说明边界特性域（Domain）最基本的管理单元组策略和大多数对象的复制边界树（Tree）共享连续 DNS 命名空间的域集合自动建立信任关系林（Forest）一个或多个树的集合所有复制流量的最终边界，最高级别的安全边界安全视角：从攻击者的角度来看，攻陷一个域并不等于攻陷整个林。但在实际环境中，由于林内域之间存在信任关系，攻击者往往可以利用这些信任关系进行跨域横向移动。特别是获取了Enterprise Admins（企业管理员）组的权限后，攻击者可以控制林中的所有域。分区类型复制范围存储内容。
Active Directory 安全攻防（十三）
idlecloud0105的博客
08-10 7
第一阶段：在所有域控制器上启用LDAP诊断日志，摸清Simple Bind的使用情况第二阶段：对发现的Simple Bind连接进行分类，确定每个连接的来源应用和业务影响第三阶段：逐步将应用迁移到安全认证方式，对无法立即迁移的应用启用传输加密第四阶段：完全禁用Simple Bind，建立持续监控机制。
Active Directory安全攻防（五）
idlecloud0105的博客
07-11 12
Active Directory Schema（架构）定义了目录数据库中可以存储的所有对象类型（类）和属性。类（Class）：可以创建哪些类型的对象（如usercomputergroup等）属性（Attribute）：每种对象可以拥有哪些属性（如mailmemberOf等）默认安全描述符：每种对象在创建时应具有的初始权限是 Microsoft 定义的一种文本格式，用于描述安全描述符。它将复杂的二进制安全描述符转换为人类可读（虽然不太友好）的字符串表示。
Active Directory安全攻防（六）
idlecloud0105的博客
07-16 11
机密属性是 Active Directory 提供的一种属性级别的访问控制增强机制。当一个 Schema 属性被标记为机密后，系统会自动移除 Authenticated Users 对该属性内容的默认读取权限，只有被显式授权的安全主体才能读取该属性的值。状态读取权限普通属性所有 Authenticated Users 默认可读机密属性仅被显式授权的身份可读企业可能在 AD Schema 中扩展了自定义属性来存储敏感信息（如员工身份证号、薪资等级代码等）。
Active Directory 安全攻防（九）
idlecloud0105的博客
07-28 8
通过备份文件和虚拟硬盘获取 AD 数据库，是一条常被安全团队忽视但极其有效的攻击路径。Windows Server Backup 将域控制器备份存储为 VHDX 格式，而从 Windows 8 开始，任何人都可以在资源管理器中直接挂载和浏览 VHDX 文件的内容。虚拟化环境中的域控制器同样面临虚拟磁盘被复制的风险。
Active Directory 安全攻防（十）
idlecloud0105的博客
08-01 23
本文通过一个完整的攻击场景，展示了攻击者如何利用AD读取权限和SYSVOL写入权限，通过篡改组策略文件实现密码重置和权限提升。GPP密码漏洞是一个经典的AD安全问题，虽然微软已禁用新密码设置功能，但历史残留配置仍可能被利用主动注入攻击允许拥有SYSVOL写入权限的攻击者创建或修改Groups.xml文件，控制目标计算机的本地账户和组成员关系客户端事件日志会记录密码变更操作，是检测此类攻击的重要数据源Windows 10的策略缓存机制在同步模式下会引入额外的安全风险。
Active Directory 安全攻防（十一）
idlecloud0105的博客
08-04 9
主题公园Kerberos售票处认证服务（AS）手环票据授予票据（TGT）手环上的信息（年龄、身高等）特权访问证书（PAC）防伪印章KrbTGT密钥加密碰碰车旁的小亭子票据授予服务（TGS）乘坐芯片服务票据（Service Ticket）碰碰车目标服务你只需要在入口处证明一次身份（输入密码），之后在公园内访问各种设施（服务）时，只需出示手环（TGT）即可获得对应的芯片（服务票据），无需反复证明身份。这就是Kerberos实现单点登录（SSO）的基本原理。三方架构。
Active Directory 安全攻防（十五）
idlecloud0105的博客
08-14 6
属性说明工具名称开发方工具定位渗透测试工具支持系统Windows 7及更早版本当前状态已停止开发核心功能读取/使用NTLM凭据和Kerberos票据提取→存储→利用。从安全防御的角度来看，理解这一攻击链条的每个环节，才能在对应位置部署有效的检测和阻断措施。更重要的启示是：只要系统内存中存在凭据缓存，PtH攻击的威胁就不会消失。从WCE到mimikatz，工具在进化，但攻击的本质逻辑始终未变。
Active Directory安全攻防（三）
idlecloud0105的博客
07-02 13
访问控制列表（ACL）是 Active Directory 安全模型的基石。ACL 由 ACE 组成，每条 ACE 定义了"谁"对"什么"拥有"什么样的权限"AD 使用自主访问控制列表（DACL）模型，对象的所有者和拥有完全控制权的主体可以自行修改权限ACL 支持对象级别和属性级别两个层级的精细控制，这使得灵活的权限委派成为可能新对象的初始权限来源于架构分区中的默认安全描述符，并可通过继承机制从上级容器获取权限管理员可以通过等工具查看和管理 ACLACL 配置不当。
Active Directory 安全攻防（十二）
idlecloud0105的博客
08-07 8
KrbTGT账户是整个Kerberos体系的密钥基石。它存储在每台域控制器上，用于加密TGT的第二部分，使得域内任何DC都能验证TGT的有效性。但其密码不自动更换的特性使其成为黄金票据攻击的核心目标。TGS请求与响应遵循与AS交换相同的双重加密设计模式。服务票据的第一部分使用TGT会话密钥加密（供客户端使用），第二部分使用目标服务账户密码加密（供目标服务使用）。SPN查找和加密协议协商是这个过程中的两个关键环节。旧版认证协议。
Active Directory 安全攻防（十四）
idlecloud0105的博客
08-12 7
Pass-the-Hash（哈希传递）攻击的核心思想非常直接：攻击者无需知道用户的明文密码，只需获取密码的哈希值，就能冒充该用户完成身份认证。在Windows系统中，用户的凭据信息（用户名与密码哈希的组合）通常会被缓存在系统内存中。这是操作系统为了实现单点登录（SSO）等便利功能而采取的设计。然而，正是这一设计，为攻击者提供了可乘之机——内存中的凭据信息可以被提取并恶意利用。工具说明Windows凭据编辑器，可提取内存中的登录凭据mimikatz最著名的Windows凭据提取工具，功能强大且持续更新。
终极指南：如何构建企业级Active Directory渗透测试实验室
gitblog_00019的博客
12-09 485
想要掌握Active Directory安全攻防技能，却苦于没有合适的训练环境？GOAD（Game Of Active Directory）项目为你提供了完美的解决方案！这是一个专门为Active Directory渗透测试和安全研究设计的开源实验室框架，让你能够快速部署和管理复杂的多域AD环境。 通过GOAD，你可以轻松构建包含多个域控制器、信任关系、应用服务器和终端工作站的企业级AD实验室，
Active Directory 安全攻防（八）
idlecloud0105的博客
07-24 11
dsamain是随 Active Directory 域服务一同安装在域控制器上的内置命令行工具。将一个离线的 AD 数据库文件（ntds.dit）以只读 LDAP 接口的形式对外提供访问。换句话说，dsamain可以把一个静态的数据库快照"复活"为一个可查询的目录服务实例，管理员或攻击者可以使用标准的 AD 管理工具（如LDP.exeADExplorer等）连接到这个 LDAP 接口，像浏览正常运行的 AD 一样浏览数据库中的所有逻辑内容。dsamain。
GOAD终极指南：如何快速搭建渗透测试Active Directory环境
gitblog_00355的博客
12-09 559
Active Directory（AD）渗透测试是网络安全领域的重要技能，而GOAD（Game Of Active Directory）正是为此而生的完美解决方案。这个开源项目让你能够在安全的环境中练习各种AD攻击技术，无需担心影响生产系统。🚀 ## 什么是GOAD项目？ GOAD是一个专门为Active Directory渗透测试设计的虚拟实验室环境。它模拟了真实的AD域结构，包含多个域控
Gitee CodePecker：SCA+SAST双引擎驱动，从源头构筑DevSecOps研发安全防线
最新发布
cakeism的博客
08-20 314
是Gitee平台官方唯一深度集成的企业级代码安全产品，由北京酷德啄木鸟信息技术有限公司自主研发，拥有完全自主知识产权。其前身酷德啄木鸟成立于2013年11月，专注于软件源代码安全及软件供应链安全领域，已服务中国石化、国家电网、中国工商银行、清华大学等近200家国有大中型企业。2025年11月，开源中国完成对酷德啄木鸟的全资收购。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

idlecloud0105

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值