Kerberos域安全系列（26）-DCSync

2015年8月，Benjamin Delpy（Mimikatz的作者）和Vincent Le Toux发布了新版本的Mimikatz，新增加了DCSync功能。模仿一个域控制器DC，从真实的域控制器中请求获取数据，例如账号的口令散列值等数据。在域内，不同DC之间，每15分钟都会有一次域数据的同步。实现不登录到域控制器上，而获取域控制器数据库中的数据。

DCSync之前，为了获取域的账号口令信息，一般需要登录域服务器，在域服务器上运行代码才可以获取。

DCSync的最大特点，在于不用登陆域服务器，即可远程通过域数据同步复制的方式获得想要的用户口令信息。

需要注意的是，DCSync攻击的对象如果是RODC域控制器，则会失效，因为RODC是不能参与复制同步数据到其他DC的。 

DCSync的原理非常清晰，利用域控制器之间的数据同步复制：

• 发现网络中的目标域控制器
• 通过DRS服务的GetNCChanges接口发起数据同步请求，Directory Replication Service（DRS）Remote Protocol

Samba Wiki关于GetNCChanges的描述包括：

当一个DC（成为客户端DC）想从其他DC（成为服务端DC）获取数据时，客户端DC会向服务端DC发起一个GetNCChanges请求。回应的数据包括需要同步的数据。如果需要同步的数据比较多，则会重复上述过程。毕竟每次回应的数据有限。

DCSync攻击的原理是模拟域控制器发起服务器之间的数据同步复制。最好的防御方法是给控制器设置白名单。在域内，域控制器的数量、IP地址、MAC地址是非常明确清晰的资产，将这些资产设置在允许同步的白名单内。非白名单的IP不允许发生数据同步。

DCSync攻击检测：可以在网络设备上检测来自白名单以外的域控制器数据同步复制。