文章目录

1.前言
1. 评估结果分析与加固方案
- 1. 用户帐户问题
- 1. 域密码策略
- 1. Tombstone lifetime和AD backup
- 1. 信任问题
- 1. 域内重复的SPN
- 1. 组策略配置文件暴露密码(GPP漏洞)
- 1. ad admins组账号检测
- - 7.1 非保护组且属于AD admin组的账号
  - 7.2 拥有老密码的AD admins
  - 7.3 ad admin组成员是否设置spn
  - 7.4 检查默认域管账户的问题
- 7+. 特权组与默认组检测
- - 7.1+.默认AD组：administrators
  - 7.2+.默认AD组：Domain Admins
  - 7.3+.默认AD组：Enterprise Admins
  - 7.4+.默认AD组：Server Operators
  - 7.5+.默认AD组：Account Operators
  - 7.6+.特权AD组：VMWare Admins
- 1. krbtgt账户没有定期改动
- 9.委派检查
- 1. 组策略相关
- 11.检查域权限
- 12.域版本检测
- 13.AD林级别与域功能检测
参考文章

1.前言

在域内任何一台机器上通过powershell脚本对域中对一些基本问题进行检测，检测的目标点如下：

用户帐户问题
域密码策略
Tombstone lifetime和AD backup
信任问题
重复的SPN
组策略配置文件暴露密码
域管或特权账户
KRBTGT帐户-需要定期重制密码
Kerberos委派-配置错误可导致windows委派攻击
组策略对象所有者-配置错误可导致GPO下发攻击

本文会对不同对检测点给出基本对防护策略，使用的时候建议多跑几遍脚本。

使用的时候可以在域控上直接使用，也可以在域内普通电脑上使用，不过需要下载AD管理模块跟组策略管理模块。

#可通过下述命令在powershell中下载组策略管理模块，通过在github上下载AD管理模块Microsoft.ActiveDirectory.Management.dll，脚本文件Invoke-TrimarcADChecks.ps1跟ad管理模块在同一个链接下载。

使用命令：

Set-ExecutionPolicy Bypass -Scope Process
import-module ./Microsoft.ActiveDirectory.Management.dll
Get-WindowsCapability -Name RSAT* -Online | Select-Object -Property Name, State
Add-WindowsCapability -Name Rsat.GroupPolicy.Management.Tools~~~~0.0.1.0 –Online;whoami
.\Invoke-TrimarcADChecks.ps1

2. 评估结果分析与加固方案

1. 用户帐户问题

有可能产生隐患的点：

不活跃的帐户-这些帐户很久没更改密码或已过一段时间未登录
可逆加密–配置了可逆加密的帐户以可逆格式存储在AD数据库中
无密码账户-可直接登录
密码永不过期-不安全的配置
启用DES Kerberos加密-DES加密可逆
存在不需要Kerberos预先认证的账户
SID历史记录-HistorySID攻击

下图显示在test.com域内，有三个账户被识别为不活跃用户，有六个用户账户有history SID。
在这里插入图片描述
加固方案：

删除不活跃的账户或者强制其定期更改密码
取消配置了可逆加密的账户的错误配置，在域控上的用户与计算机功能中直接对账户进行管理。
给空密码用户设置密码
取消密码永不过期选项
不开启DES加密
开启kerberos预认证
检查各个账号的SIDHistory并对未授权的SIDHistory进行删除。

以上大多数设置都能在域控上的用户与计算机功能直接配置，示例图如下：
在这里插入图片描述

2. 域密码策略

域密码策略决定了域内的密码规则，例如密码的位数以及多久更改一次密码。

下图显示，锁定持续时间为30分钟，锁定观察窗口为30分钟，不锁定入口，密码最长使用期限42天，最短1天，最短长度为1，密码历史为24个，密码复杂度未开启，可逆加密未开启。
在这里插入图片描述

加固方案：
建议设置定期更改密码例如3月一次，然后密码长度大于14且满足复杂度要求。

3. Tombstone lifetime和AD backup

Tombstone lifetime这个值的默认值为180，AD可以备份自己的数据，然后在适当的时候进行恢复，这个功能需要提前添加，默认是没有的。备份的数据有效期就是Tombstone lifetime，单位是天。例如Tombstone lifetime为180，备份的数据在180天后就无法恢复了。

下图显示我的机器的Tombstone lifetime是60，且备份时间为2020年8月21日：
在这里插入图片描述

加固方案：
Tombstone lifetime设置的长一点，以备不时之需。确保至少每月在AD林中的FSMO角色持有者上运行一次系统状态备份，并保持至少6个月，FSMO角色可以理解成对整个域对某些功能具有管理权限的人，这些人的所有功能结合到一起就是一个完整的域。

Active Directory的系统状态备份的有用保质期

4. 信任问题

一个AD的森林是这个AD域的安全边界，当其被配置ad森林的时候安全边界也就会改变，所以有必要了解其配置情况。

在这里插入图片描述
查看CSV文件发现是空文件，证明没有信任其他的ad域。

加固方案：

至少每年检查一次配置且确保配置是适当的，如果不是必须的话，立刻删除信任配置。
配置双向信任应该经过详细检查，确保确实是双向信任，且业务需要双向信任。
不要配置对于DMZ区的信任。
如果需要信任，请转换为选择性身份验证，从“允许所有人”更改为“只允许显式地跨信任连接”。选择性身份验证配置后，用户需要明确批准才能访问资源，否则他们无法查看或访问跨信任的任何内容，总体安全很多。

在这里插入图片描述

5. 域内重复的SPN

一般情况如果有重复的SPN，则利用kerberos认证访问此服务就会出错，但KRBTGT账号相关的spn可以是重复的。

在这里插入图片描述

加固方案：
除了krbtgt账号的spn外，确保没有重复的spn，可以使用SetSPN -X -F命令查找重复SPN。

SPN格式为serviceclass/host:port/servicename
• serviceclass可以理解为服务的名称，常见的有www, ldap, SMTP, DNS, HOST等
• host有两种形式，FQDN和NetBIOS名，例如server01.test.com和server01
• 如果服务运行在默认端口上，则端口号(port)可以省略

参考文章：
两个不同的林之间如何建立信任

6. 组策略配置文件暴露密码(GPP漏洞)

老版本的域中，域管在域控上利用组策略批量下发计划任务或者更改域内主机密码的时候，会填写一个叫做“运行身份”的字段，会在其中填入自己的用户名密码，这个密码会被保存在sysvol这个共享文件夹中，这个文件夹域内任意用户都能访问。若被黑客访问了的话，会盗取域管的账号密码，这也是所谓的GPP漏洞，下图显示当前主机可以访问到这两个组策略配置文件，可以将权限设置成普通用户无法访问最安全。

在这里插入图片描述

可以在powershell中执行下述命令来快速检查：

Findstr /S /I cpassword [SYSVOL_PATH]

加固方法：
0、使用高版本的域控制器，版本大与2012.
1、使用LAPS批量管理域内主机本地管理员帐户
2、域控安装补丁KB2962486
3、不在组策略中使用域控密码
4、设置共享文件夹\ SYSVOL的访问权限,使得普通用户不能访问最好。
5、使用PsPasswd批量修改域内部主机本地管理员密码

参考文章：域渗透-利用SYSVOL还原组策略中保存的密码