本文详细介绍了Windows组策略首选项（GPP）如何被用于批量修改域中机器的本地管理员密码，以及攻击者如何利用GPP获取密码。通过组策略编辑器设置本地用户，然后通过PowerShell或Metasploit Framework（MSF）工具解密cpassword字段来提权。防御措施包括安装KB2962486补丁，限制SYSVOL访问权限，以及使用LAPS管理本地管理员密码。
目录
SYSVOL
SYSVOL是活动目录里面的一个用于存储域公共文件服务器副本的共享文件夹，在域中的所有域控制器之间进行复制。SYSVOL文件夹是在安装活动目录时自动创建的，主要用来存放登录脚本、组策略数据及其他域控制器需要的域信息等。SYSVOL在所有经过身份验证的域用户或者域信任用户具有读权限的活动目录的域范围内共享。整个SYSVOL目录在所有的域控制器中是自动同步和共享的，所有的域策略均存放在 C:\Windows\SYSVOL\DOMAIN\Policies\ 目录中。
在一般的域环境中，所有机器都是脚本化批量部署的，数据量通常很大。为了方便地对所有的机器进行操作，网络管理员往往会使用域策略进行统一的配置和管理。大多数组织在创建域环境后，会要求加入域的计算机使用域用户密码进行登录验证。为了保证本地管理员密码的安全性，这些组织的网络管理员往往会修
订阅专栏 解锁全文
扫一扫
4万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
