【Powershell】企业安全警钟：弱密码的危害及AD密码审计实践

在数字化时代，网络安全已经成为我们每个人都需要关注的问题。弱密码，作为网络安全的一大隐患，给个人隐私和企业数据安全带来了巨大的风险。本文将首先介绍弱密码的定义及其潜在危害，然后探讨如何有效避免设置弱密码，最后通过Powershell模块DSInternals对Active Directory（AD）账号密码进行审计，以增强账户安全性。

什么是弱密码？

弱密码，顾名思义，是指那些安全性较低、容易被猜测或破解的密码。它们通常由简单的数字、字母或特殊字符组成，例如“123456”、“password”或者“admin”。这类密码因为过于简单，很容易被攻击者通过社会工程学、暴力破解或字典攻击等手段获取。

弱密码的危害

弱密码的使用会导致多种安全问题。首先，它使得账户容易被入侵，攻击者可以窃取个人敏感信息、进行身份冒充或财务诈骗。其次，如果多个平台使用相同的弱密码，一旦其中一个平台的密码被泄露，其他平台的账户也将面临风险。此外，弱密码还可能导致个人隐私泄露，如家用摄像头被破解后，个人生活将无隐私可言。

如何避免弱密码？

为了避免弱密码带来的风险，我们应该采取以下措施：

1. 长度与复杂性：密码应至少包含8个字符，并使用大小写字母、数字和特殊字符的组合。
2. 避免常见词汇：不要使用容易猜到的单词、生日、纪念日或其他个人信息。
3. 定期更换：定期（至少90天一次）更换密码，并确保新密码与旧密码有显著差异。
4. 不重复使用：不同账户应使用不同的密码，避免一个账户被破解导致其他账户同样受到威胁。
5. 使用密码管理器：考虑使用密码管理器来生成和存储复杂的密码，确保易于记忆且难以破解。

通过Powershell模块DSInternals审计AD账号密码

在企业环境中，Active Directory（AD）账号的安全性尤为重要。DSInternals是一个Powershell模块，它提供了一系列的工具和命令来审计和分析AD环境中的安全状况，包括账号密码的强度等。

安装

• PowerShell Gallery (PowerShell 5+)

Install-Module DSInternals -Force

• Chocolatey Package

choco install dsinternals-psmodule --confirm

• WAPT Package

wapt-get install dsinternals

• 离线安装

  1. 下载DSInternals模块
     下载地址：https://github.com/MichaelGrafnetter/DSInternals/releases （可能需要魔法）

  2. 解压缩ZIP文件

  3. 检查模块路径
     确保解压缩后的DSInternals目录被放置在PowerShell的模块路径中，默认情况下可能是：

     • C:\Windows\System32\WindowsPowerShell\v1.0\Modules\
     • C:\Users\YourUsername\Documents\WindowsPowerShell\Modules\

  4. 导入DSInternals模块

  Import-Module DSInternals
  

验证安装
为了验证DSInternals是否已成功安装并可以使用，尝试运行一个DSInternals的命令，例如Get-Help加上一个DSInternals的命令，看看是否能够得到相关的帮助信息。例如：

Get-Help Get-ADObject

密码审计

1. 从HaveIBeenPwned下载公共密码泄露库
   A. 安装.NET SDK
   地址：https://dotnet.microsoft.com/en-us/download/dotnet/6.0
   B. 安装haveibeenpwned-downloader工具
   bash dotnet tool install --global haveibeenpwned-downloader
   如遇到无法解析的问题，运行以下

    ```bash
    dotnet nuget add source https://api.nuget.org/v3/index.json -n nuget.org
    ```
    ![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/bf50c7418bf942be924a5a300adb1566.png)
   

   C. 下载NTLM hashes到一个文件

    ```bash
    haveibeenpwned-downloader.exe d:\pwned-passwords-ntlm-ordered-by-hash-v5 -s true -o -p 64 -n
    ```
    使用64个线程将所有NTLM哈希下载到D盘上的一个名为`pwned-passwords-ntlm-ordered-by-hash-v5`的文件中，并在文件已存在时覆盖它。
   

2. 审计某个账号密码是否在公共密码泄露库中出现过

$cre = Get-Credential
$userinfo = Get-ADReplAccount -SamAccountName multiotp -Server 'dc.tech.com' -Credential $cre
$userinfo | Test-PasswordQuality -WeakPasswordHashesSortedFile "D:\pwned-passwords-ntlm-ordered-by-hash-v5.txt"

测试前特地将这个账号密码改成了一个肯定存在密码泄露库中的密码

3. 审计所有账号密码是否在公共密码泄露库中出现过

$cre = Get-Credential
Get-ADReplAccount -All -Server 'dc.tech.com' -Credential $cre | Test-PasswordQuality -WeakPasswordHashesSortedFile "D:\pwned-passwords-ntlm-ordered-by-hash-v5.txt"

从运行结果看还是有几个用户的密码可能存在被撞库的风险

结语

弱密码是网络安全的一个普遍问题，它不仅威胁个人隐私，也给企业数据安全带来隐患。通过采取有效的防范措施，我们可以显著降低这一风险。同时，利用如DSInternals这样的工具，企业和组织可以更好地管理和审计账户密码，确保网络环境的安全。让我们共同努力，提高安全意识，防范弱密码，保护我们的数字世界。

参考

• https://www.dsinternals.com/en/
• https://www.powershellgallery.com/packages/DSInternals/
• https://haveibeenpwned.com/Passwords
• https://github.com/HaveIBeenPwned/PwnedPasswordsDownloader