【内网渗透】从0到1的内网渗透基础概念笔记

域

域的介绍

单域

父域和子域

域树

域森林

域名服务器

活动目录

活动目录介绍

域内权限

组

域本地组

全局组

通用组

总结

示例

A-G-DL-P策略

重要的域本地组

重要的全局组、通用组

安全域划分

域

域的介绍

Windows域是计算机网络的一种形式，其中所有用户帐户，计算机，打印机和其他安全主体都在位于称为域控制器的一个或多个中央计算机集群上的中央数据库中注册。身份验证在域控制器上进行。在域中使用计算机的每个人都会收到一个唯一的用户帐户，然后可以为该帐户分配对该域内资源的访问权限。
域 ( Domain)是一个有安全边界的计算机集合(安全边界的意思是,在两个域中,一个域中的用户无法
访问另一个域中的资源)可以简单地把域理解成升级版的工作组。与工作组相比,域的安全管理控制机制更加严格。用户要想访问域内的资源,必须以合法的身份登录域,而用户对域内的资源拥有什么样的权限,还取决于用户在域内的身份。
域控制器( Domain Controller,DC)是域中的一台类似管理服务器的计算机
域控制器中存在由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当计算机连接到域时,域控制器首先要鉴别这台计算机是否属于这个域,以及用户使用的登录账号是否存在、密码是否正确。如果以上信息有一项不正确,域控制器就会拒绝这个用户通过这台计算机登录。如果用户不能登录,就不能访问服务器中的资源。
域控制器是整个域的通信枢纽,所有的权限身份验证都在域控制器上进行,也就是说,域内所有用来验
证身份的账号和密码散列值都保存在域控制器中

单域

通常,在一个地理位置固定的小公司里,建立一个域就可以满足需求。在一个域内,一般要有至少两台

域服务器,一台作为DC,另一台作为备份DC。

父域和子域

出于管理及其他需求,需要在网络中划分多个域。第一个域称为父域,各分部的域称为该域的子域。例如大公司的各个分公司位于不同的地点,就需要使用父域及子域。如果把不同地点的分公司放在同一个域内,那么它们之间在信息交互(包括同步、复制等)上花费的时间就会比较长,占用的带宽也会比较大(在同一个域内,信息交互的条目是很多的,而且不会压缩; 在不同的域之间,信息交互的条日相对较少, 而且可以压缩)。这样处理有一个好处,就是分公司可以通过自己的域来管理自己的资源。还有一种情况是出于安全策略的考虑(每个域都有自己的安全策略)例如,一个公司的财务部希望使用特定的安全策略(包括账号密码策略等)、那么可以将财务部作为一个子域来单独管理。

域树

域树(Tree)是多个域通过建立信任关系组成的集合。一个域管理员只能管理本域,不能访问或者管理其他域。如果两个域之间需要互相访问,则需要建立信任关系，信任关系是连接不同域的桥梁。域树内的父域与子域,不但可以按照需要互相管理、还可以跨网络分配文件和打印机等设备及资源,从而在不同的域之间实现网络资源的共享与管理、通信及数据传输。
在一个域树中,父域可以包含多个子域。子域是相对父域来说的,指的是域名中的每一个段。各子域之间用点号隔开,一个"."代表一个层次。放在域名最后的子域称为最高级子域或一级域,它前面的子域称为二级域

域森林

域森林( Forest)是指多个域树通过建立信任关系组成的集合。例如,在一个公司兼并场景中某公司使用域树 abc. com,被兼并的公司本来有自己的域树 abc. net,域树abc.net无法挂在域树abc.com下。

所以,域树abc.com与域树 abc. net之间需要通过建立信任关系来构成域森林。通过域树之间的信任

关系,可以管理和使用整个域森林中的资源,并保留被兼并公司自身原有的特性

域名服务器

域名服务器( Domain Name Server,DNs)是指用于实现域名( Domain Name)和与之相对的IP地址(

IP Address)转换的服务器。从对域树的介绍中可以看出,域树中的域名和DNS域名非常相似。而实际上,因为域中的计算机是使用DNS来定位域控制器、服务器及其他计算机、网络服务的,所以域的名字就是DNS域的名字。在内网渗透测试中,大都是通过寻找DNS服务器来确定域控制器的位置的(DNS服务器和域控制器通常配置在同一机器上)

活动目录

活动目录介绍

活动目录( Active Directory,AD)是指域环境中提供目录服务的组件

目录用于存储有关网络对象(例如用户、组、计算机、共享资源、打印机和联系人等)的信息。目录服务是指帮助用户快速、准确地从目录中找到其所需要的信息的服务。活动目录实现了目录服务,为企业提供了网络环境的集中式管理机制

活动目录的逻辑结构包括前面讲过的组织单元(OU)、域、域树、域森林。域树内的所有域共享一个

活动目录,这个活动目录内的数据分散存储在各个域中,且每个域只存储该域内的数据。

活动目录主要提供以下功能

①账号集中管理:所有账号均存储在服务器中,以便执行命令和重置密码等。
②软件集中管理:统一推送软件、安装网络打印机等。利用软件发布策略分发软件,可以让用户自由选择需要安装的软件。
③环境集中管理:统一客户端桌面、IE、TCPP协议等设置。

④增强安全性:统一部署杀毒软件和病毒扫描任务、集中管理用户的计算机权限、统一制定用户密码策略等。可以监控网络,对资料进行统一管理。
⑤更可靠,更短的宕机时间:例如,利用活动目录控制用户访问权限,利用群集、负载均衡等技术对文件服务器进行容灾设置。网络更可靠,宕机时间更短。
活动目录是微软提供的统一管理基础平台,ISA、 Exchange、SMS等都依赖这个平台

域内权限

组

组( Group)是用户账号的集合。通过向组分配权限,就可以不必向每个用户分别分配权限。例如,管理员在日常工作中,不必为单个用户账号设置独特的访问权限,只需要将用户账放到相应的安全组中。管理员通过配置安全组访问权限,就可以为所有加入安全组的用户账号配置同样的权限。使用安全组而不是单个的用户账号,可以大大简化网络的维护和管理工作

域本地组

域本地组成员来自林中任何域中的用户账户、全局组和通用组以及本域中的域本地组，在本域范围内可用。

全局组

全局组成员来自于同一域的用户账户和全局组，在林范围内可用

通用组

通用组成员来自林中任何域中的用户账户、全局组和其他的通用组，在全林范围内可用

总结

域本地组来自全林,作用于本域;

全局组来自本域,作用于全林;

通用组来自林,作用于全林。

示例

示例一：
有一个打印机连接域控，设置域本地组赋予使用打印机的权限，然后设置全局组，将人员都加入到全
局组，然后将全局组加入到域本地组就可以了
示例二
有三个域hack.com(在北京)，sh.hack.com(在上海)，gz.hack.com(在广州)组成W林，然后北京财
务部门，需要进行结算，但是数据在北京的一台服务器上权限比较高只有北京财务人员可以使用，同
时因为北京人数不够，需要上海和广州支援，这个时候怎么办？
1、只需要在北京的建立一个域本地组，然后赋予域本地组权限可以访问财务的数据机器
2、在上海和广州分别建立全局组
3、在北京的域控上将上海和广州的全局组加入进来

A-G-DL-P策略

A-G-DL-P策略是指将用户账号添加到全局组中,将全局组添加到域本地组中,然后为域本地组分配资源权限

A表示用户账号( Account)

G表示全局组( Global Group)

U表示通用组( Universal Group)

DL表示域本地组( Domain Local Group)

P表示资源权限( Permission,许可)

按照AG-DL-P策略对用户进行组织和管理是非常容易的。在AGDL-P策略形成以后,当需要给一个用户添加某个权限时,只要把这个用户添加到某个本地域组中就可以了。

重要的域本地组

①管理员组( Administrators)的成员可以不受限制地存取计算机/域的资源。它不仅是最具权力的一

个组,也是在活动目录和域控制器中默认具有管理员权限的组。该组的成员可以更改 Enterprise

Admins、 Schema admins和 Domain admins组的成员关系,是域森林中强大的服务管理组

②远程登录组( Remote Desktop Users)的成员具有远程登录权限。

③打印机操作员组( Print Operators)的成员可以管理网络打印机,包括建立、管理及删除网络打印机, 并可以在本地登录和关闭域控制器。

④账号操作员组( Account Operators)的成员可以创建和管理该域中的用户和组并为其设置权限,也

可以在本地登录域控制器,但是,不能更改属于 Administrators或 Domain admins组的账户,也不能

修改这些组。在默认情况下,该组中没有成员。

⑤服务器操作员组( Server Operators)的成员可以管理域服务器,其权限包括建立管理删除任意服务

器的共享目录、管理网络打印机、备份任何服务器的文件、格式化服务器硬盘锁定服务器、变更服务器的系统时间、关闭域控制器等。在默认情况下,该组中没有成员。

⑥备份操作员组( Backup Operators)的成员可以在域控制器中执行备份和还原操作,并可以在本地登录和关闭域控制器。在默认情况下,该组中没有成员

重要的全局组、通用组

①域管理员组( Domain Admins)的成员在所有加入域的服务器(工作站)、域控制器和活动目录中均

默认拥有完整的管理员权限。因为该组会被添加到自己所在域的 Administrators 组中,因此可以继

承 Administrators组的所有权限。同时,该组默认会被添加到每台域成员计算机的本地

Administrators组中,这样, Domain admins组就获得了域中所有计算机的所有权。如果希望某用户

成为域系统管理员,建议将该用户添加到 Domain admins组中,而不要直接将该用户添加到 Administrators组中。

②企业系统管理员组( Enterprise Admins)是域森林根域中的一个组。该组在域森林中的每个域内都是 Administrators组的成员,因此对所有域控制器都有完全访问权。

③架构管理员组( Schema admins)是域森林根域中的一个组,可以修改活动目录和域森林的模式。该组是为活动目录和域控制器提供完整权限的域用户组,因此,该组成员的资格是非常重要的。

④域用户组( Domain users)中是所有的域成员。在默认情况下,任何由我们建立的用户账号都属于

Domain Users组,而任何由我们建立的计算机账号都属于 Domain Computers组。因此,如果想让

所有的账号都获得某种资源存取权限,可以将该权限指定给域用户组,或者让域用户组属于具有该权限的组。域用户组默认是内置域 Users组的成员。

安全域划分

划分安全域的目的是将一组安全等级相同的计算机划入同一个网段。这个网段内的计算机拥有相同的网络边界,并在网络边界上通过部署防火墙来实现对其他安全域的网络访问控制策略，从而对允许哪些IP地址访问此域、允许此域访问哪些IP地址和网段进行设置。这些措施,将使得网络风险最小化, 当攻击发生时,可以尽可能地将威胁隔离,从而降低对域内计算机的影响。

在一个用路由器连接的内网中,可以将网络划分为三个区域:

安全级别最高的内网;

安全级别中等的DMZ;

安全级别最低的外网

在配置一个拥有DMZ的网络时,通常需要定义如下访问控制策略,以实现其屏障功能

①内网可以访问外网:内网用户需要自由地访问外网。在这一策略中,防火墙需要执行NAT。

②内网可以访问DMZ:此策略使内网用户可以使用或者管理DMZ中的服务器

③外网不能访问内网:这是防火墙的基本策略。内网中存储的是公司内部数据,显然,这些数据一般是不允许外网用户访问的(如果要访问,就要通过VPN的方式来进行)

④外网可以访问DMZ:因为DMZ中的服务器需要为外界提供服务,所以外网必须可以访问DMZ。同时,需要由防火墙来完成从对外地址到服务器实际地址的转换。

⑤DMZ不能访问内网:如果不执行此策略,当攻击者攻陷DMZ时,内网将无法受到保护

⑥DMZ不能访问外网:此策略也有例外。例如,在DMZ中放置了邮件服务器,就要允许访问外网,否则邮件服务器无法正常工作

办公区:公司员工日常的工作区,一般会安装防病毒软件、主机入侵检测产品等。办公区一般能够访问DMZ。如果运维人员也在办公区,那么部分主机也能访问核心数据区(很多企业还会使用堡垒机来统一管理用户的登录行为)攻击者如果想进入内网,一艘会使用鱼叉攻击、水坑攻击,当然还有社会工程学手段。办公区人员多而杂,变动也很频繁,在安全管理上可能存在诸多漏洞,是攻击者进人内网的重要途径之一。

核心区:存储企业最重要的数据、文档等信息资产,通过日志记录、安全审计等安全措施进行严密的保护,往往只有很少的主机能够访问。从外部是绝难直接访问核心区的。一般来说,能够直接访问核心区的只有运维人员或者IT部门的主管,所以,攻击者会重点关注这些用户的信息(攻击者在内网中进行横向移动攻击时,会优先查找这些主机)