前言
DCShadow是一种利用了合法协议来修改活动目录中数据的权限维持手段。它的作用通过LDAP协议接口也可以实现,但是DCShadow会更加隐蔽一点。
正文
其攻击步骤如下:
-
获得高权限账户(比如域管理员或企业管理员)。
-
在计算机账户上设置SPN。
-
创建一个 NTDS-DSA对象。
-
通过保存复制的SPN来验证上下文,将环境模拟为计算机账户。
-
启动相应的RPC服务。
-
在模拟环境中调用
DrsReplicaAdd
强制执行域复制,使得指定的新对象或修改后的属性能够同步进入其他的DC中。
-
使用恶意的AD对象创建和隐藏后门。
安装环境:
一台WINDOWS 2008
一台WINDOWS 7
安装服务
下一步
创建
自定义
配置IP
关闭防火墙
配置WIN7
创建用户
把WIN7加入域
打开windows 7
右键管理员权限打开两个CMD窗口
一个直接指定mimikatz
一个登录域管账户
通过DCShadow更改描述
/object后的四个属性,指CN=域用户名,CN=Users组,DC=域前缀,DC=域后缀
执行lsadump::dcshadow /push
查看结果
对于DCShadow,不像其他手段一样,有明显的记录,所以只能针对这样的目录服务访问进行注意,如果有一段时间有异常的目录服务访问,需要加以甄别。
参考:星期五实验室
原文始发于微信公众号(Th0r安全):DCShadow以及对应不足的检测
特别标注:
本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
- 我的微信
- 微信扫一扫
-
- 我的微信公众号
- 微信扫一扫
-
评论