域权限维持之DCShadow

2018年1月24日，在BlueHat安全会议上，安全研究员Benjamin Delpy 和 Vincent Le Toux 公布了针对微软活动目录域的一种新型攻击技术------DCShaow。利用该攻击技术，具有域管理员权限或企业管理员权限的恶意攻击者可以创建恶意域控，然后利用域控间正常同步数据的功能将恶意域控上的恶意对象同步到正在运行的正常域控上。由于执行该攻击操作需要域管理员权限或企业管理员权限，因此该攻击技术通常用于域权限维持。

漏洞原理

微软MS-ADTS（MicroSoft Active Directory Technical Specification）中指出，活动目录是一个依赖于专用服务器架构。域控便是承载此服务的服务器，它托管活动目录对象的数据存储，并与其他的域控互相同步数据，以确保活动目录对象的本地更改在所有域控之间正确的复制。域控间的数据的复制由运行在NTDS服务上一个名为KCC（Knowledge Consistency Checker）的组件所执行。

KCC的主要功能是生成和维护复制活动目录拓扑、以便于站点内和站点之间的扑拓复制。对于站点内的复制，每个KCC都会生成自己的连接；对于站点之间的复制，每个站点有一个KCC生成所有连接。

两种连接类型，如图所示：

默认情况下，KCC组件每隔15min进行了一次域控间的数据的同步。使用与每个活动目录对象相关联的USN，KCC可以识别环境中发生的变化，并确保域控在复制扑拓中不会被孤立。于是，我们猜测能不能自己注册一个恶意的域控，并注入恶意的对象。这样，KCC在进行域控间数据的同步时，就能将恶意域控上的恶意的对象同步到其他正常的域控上了。

1、在活动目录中新增域控

如何在域内注册一个恶意的域控呢？MS-ADTS中指出，在活动目录数据库中通过一些特殊的对象和一定的数据对象层级来标识哪台机器是域控。其中，最关键的便是nTDSDSA对象，该对象用于标识一台主机，是域控的特殊对象，如图所示，是微软官方对于nTDSDSA对象的描述

那么，只要在活动目录中添加一个具有nTDSDSA对象的服务器就好了。拥有什么权限才可以往活动目录中添加nTDSDSA对象呢？通过查看nTDSDSA对象的ACL，可以看到只有域管理员和企业管理员才有权限修改此属性。因此，只有获得域管理员权限或企业管理员权限后，才能在域内添加一个域控。nTDSDSA对象无法通过LDAP进行添加，比如mimikatz中的DCShadow功能模块是通过PRC协议在活动目录中增加nTDSDSA对象的。

2、伪造的域控如何被正常域控认可参与域复制

现在已经可以在域内添加一个伪造的恶意域控了，那么该域控如何能被域内正常域控认可并参与域数据的复制呢？需要满足以下两个条件：

• 被其他服务器信任，也就是说需要拥有有效的身份认证凭据

• 支持身份认证，以便复制数据时其他正常域控能够连接到伪造的恶意域控上

对于第一个条件，伪造的恶意域控可以通过有效的机器账户提供身份认证凭据，每个nTDSDSA对象都会通过serverReferenceBL属性链接到一个computer对象，还可以实现服务器在DNS环境中的自动注册，这样其他正常的域控就可以定位到伪造的恶意域控上了。

对于第二个条件，可以在域内注册一个SPN，以此来提供身份认证，而需要添加什么的SPN呢？Benjamin Delpy 和 Vincent Le Toux 找到了复制过程中所需的最小的SPN集合，只需要以下两个SPN就可以让其他域控连接到恶意伪造的域控上。

1）目录复制服务（DRS），其SPN格式如下：

DPS interface GUID/domain name

其中，DRS interface GUID 是一个固定的值，为E3514235-4B06-11D1-AB04-00C04FC2DCD2。而DSA GUID则是nTDSDSA对象的objectGUID属性的值

2）全局编录服务（GC），用于存储域中的所有对象的信息，其他SPN格式如下：

GC/hostname/domain name

3、强制触发域复制

现在我们已经能够在域内注册一个恶意的伪造域控了，并且能让其他正常的域控信任我们伪造的恶意域控。但是，如何手动强制触发域复制呢？默认域复制操作由KCC组件每隔15min进行一次，显然，等待15min对攻击者来说是不可以接受的，能不能利用其他操作代替KCC组件进行域复制操作呢？后来研究发现，Windows 域服务自带repamin 工具通过调用DRSReplicaAdd函数也能进行域复制操作，mimikatz中的DCShadow模块也是通过DRSReplicaAdd函数强制正常域控发起域复制操作的。

漏洞攻击流程

整个漏洞攻击流程如下：

1）通过DCShadow 更改配置架构和注册SPN，从而实现在目标活动目录内注册一个伪造的恶意域控，并且使得伪造的恶意域控能被其他正常的域控认可，能够参与域复制。
2）在伪造的域控上更改活动目录数据。
3）强制触发域复制，使得指定的新对象或修改后的属性能够同步进入其他正常域控中，DCShadow 攻击示意图如图所示：

DCShadow攻击

实验环境如下：

• 域控系统版本：Windows Server 2012 R2

• 域控主机名：DC

• 域控IP：192.168.41.10

• 域内主机：Win10

• 域内主机IP：192.168.41.15

• 域管理员：hack\administrator

• 域普通用户：hack\jack

攻击扑拓图如下：

域内主机上已经登录一个普通域用户hack\jack，其具有本地管理员权限。以本地管理员权限打开一个cmd窗口，运行mimikatz.exe执行如下的命令，使得mimikatz.exe当前进程具有System权限

token::whoami

或者使用psexec执行如下的命令获取一个具有System权限的cmd窗口，结果如图所示：

psexec.exe -i -s cmd.exe

然后使用mimikatz执行如下的命令进行数据的更改监听，修改用户jack的primarygroupid的值为512，即将其添加到Domain Admins组中，结果如图所示：

#将用户jack的primarygroupid值赋值为512，即将其添加到Domain Admins组中
lsadump::dcshadow /object:CN=jack,CN=Users,DC=hack,DC=com /attribute:primarygroupid /value:512

也可以执行其他活动目录的数据更改语句，常见的组ID和对应组的关系如图所示：

然后打开第二个窗口，这个窗口需要域管理员权限，我们用psexec以域管理员权限hack\administrator身份打开一个cmd窗口，然后执行如下的命令触发正常域控同步数据，如图所示：

psexec.exe -u hack\administrator cmd

执行如下的命令触发域复制：

lsadump::dcshadow /push

如图所示，可以看到第一个监听窗口更新：

对比前后Domian Admins 组内用户发现jack用户已经被添加进来了，如图所示

DCShadow攻击防御

对于防守方或蓝队来说，如何针对DCShadow 攻击进行防御呢？操作如下：

1）及时修复域内漏洞，更新最新补丁，让攻击者无法获得域管理员权限或企业管理员权限，自然也就无法进行DCShadow攻击了。
2）对于攻击者在获得高权限后进行DCShadow攻击，并没有一个很好的办法来进行防御，但是蓝队可以针对以下的内容进行监控

• 实时监控Domain Controllers 组织单元中正常的域控对象和站点容器中的nTDSDSA对象，确保两者相配

• 实时监控域中提供了以GC字符串开头的SPN

• 实时监控域中提供了目录复制服务但是又不在正常域控中的主机

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

• 2023届全国高校毕业生预计达到1158万人，就业形势严峻；
• 国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。 

网络安全行业特点

1、就业薪资非常高，涨薪快 2021年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才 需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

 1.学习路线图 

 攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

（都打包成一块的了，不能一一展开，总共300多集）

因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。 

 因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。 

 还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取

最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

 因篇幅有限，仅展示部分资料，需要保存下方图片，微信扫码即可前往获取