域渗透

凌晨两点，域渗透红队报告说拿到了域管权限，域渗透过程只花了四十分钟。域渗透我盯着日志里那串Kerberos票据，域渗透心里清楚这不是域渗透运气——对方域里有个老旧的exchange服务器，补丁停留在三年前，域渗透利用它拉取哈希就像打开没上锁的域渗透后门。

域渗透的域渗透本质，说白了就是域渗透一场关于信任的狩猎。AD（Active Directory）把所有机器和账号绑进一张网，域渗透你攻破一个普通用户，域渗透就能沿着信任关系往核心爬。域渗透最讽刺的域渗透是，域管理员往往以为自己隔离得够好，域渗透却忘了服务账号常被赋予超出需要的域渗透特权。有个客户，域管密码竟然和某台打印机的本地管理员密码相同，我们打掉打印机后直接横向过去，全程没触发任何告警。

攻击者喜欢先摸清“谁是域里的中心”。BloodHound这类工具把AD里的对象关系画成图，一眼看出谁能通往域管。但工具只是辅助，真正的活儿在理解业务逻辑——比如财务部那台老掉牙的XP机器，可能因为跑着某个必须的旧软件而豁免于安全策略，它就成了最脆的跳板。我见过最经典的路径：一个实习生把公司WiFi密码写在便利贴上，贴屏幕边框，攻击者物理进入后连上内网，用LLMNR投毒骗到哈希，再结合SMB中继，半小时内拿到了整个域的控制权。

别小看那些“低危”漏洞。密码喷洒算一个，对全公司所有用户试“Winter2024!”这种弱口令，只要不触发锁定策略，总能撞上一两个。还有GPO（组策略）滥用，谁能修改默认域策略，谁就能给所有机器植入计划任务——这活儿比想象中容易，因为很多管理员把修改权限开得太宽。我碰到过一个案例，某部门的IT支持团队竟然有权限改域根路径下的脚本，他们自己都不知道这权限能干啥，结果被攻击者利用，往登录脚本里塞了段下载器。

防御那边，其实常犯的错是把所有精力砸在边界防火墙上。域内流量一旦进入，横向移动几乎不设防。微软天天喊“分层防护”，可现实中，连最基本的“禁止域管账号交互登录”都做不到。更别提那些从不清理的失效计算机账号，攻击者用它们做“机器账号委派”，能伪造任意用户访问服务。有回测试，客户域里躺着四千多个僵尸账号，我们随便挑了个2015年建的，直接用它申请了域管的服务票据。

写到这里，我想起一个老前辈的话：域渗透不是比谁的工具更炫，而是比谁更懂AD里的“人之常情”。管理员图省事把密码设成统一规则，运维为了省时间给服务账号开太多权限，业务部门为了跑通流程绕过安全审批——这些日常的“差不多”，才是攻击者真正的抓手。技术永远在变，但人性那点懒和侥幸，倒是挺稳定。