企业官网建设流程全解析

🔒免责声明：本文所有技术内容，仅用于授权红蓝对抗、授权渗透测试、安全学习研究。禁止在未授权企业 AD 域环境执行任何提权、凭证抓取、ACL 篡改、票据伪造操作，未授权访问、篡改 Windows 域环境属于违法行为。全部案例均来自自建靶场与公开护网复盘，请勿直接在生产环境复现攻击。

摘要
在内网渗透、护网红蓝对抗当中，攻击者往往最先拿到的仅仅是一个普通域用户账号。没有本地管理员权限，没有域管理员权限，但是依靠 AD 域配置错误、Kerberos 协议特性、证书服务缺陷、ACL 权限委派不当等条件，存在大量链路可以从普通域用户一路提升至域控制器权限，接管整个 Active Directory 域。

很多安全学习者只会零散记忆单个漏洞，无法梳理完整攻击链路，不知道每一条提权路径所需要的前置条件、利用限制、工具命令，分不清哪些攻击需要本地管理员、哪些攻击只需要普通域用户身份就可以完成。本文把主流提权链路做系统性梳理，分为 Kerberos 协议类攻击、AD ACL 权限滥用攻击、委派权限滥用、AD CS 证书服务提权、组策略 GPO 滥用、NTLM 中继与强制认证、历史 CVE 漏洞提权、凭证抓取横向提权八大模块。每条链路讲解原理、前置条件、实战命令、工具、攻击链、蓝队检测方式、加固方案，同时包含真实护网完整攻击案例、BloodHound 查询语句、面试高频考点。读完本篇文章可以完整建立域提权知识体系，快速在真实环境判断可以走哪条攻击路径。

MITRE ATT&CK 映射：T1068 权限提升、T1558 Kerberos 票据滥用、T1559.002 ACL 滥用、T1557.001 LSA 凭证转储、T1484 域策略修改、T1550 委派滥用。

1. 前言：普通域用户到底拥有哪些默认权限

很多新手有误区，认为普通域用户权限很低，什么都做不了。在标准 AD 域环境，任意一个普通域认证用户，拥有大量默认权利，很多高危攻击不需要管理员，只要域身份即可发起。

普通域用户默认可以执行的操作：

1. LDAP 读取几乎全部 AD 对象：用户、组、计算机、GPO、SPN 信息；
2. 默认可以在域内创建最多 10 个计算机机器账号（MachineAccountQuota 默认值 10），这是 RBCD 影子凭证攻击的重要前置条件；
3. 请求任意服务账号的 TGS 服务票据（Kerberoasting 攻击基础）；
4. 访问 SYSVOL 共享文件夹，读取全部组策略文件；
5. 向域控发起 LDAP、SMB、Kerberos 请求；
6. 部分环境允许访问 AD CS 证书申请接口。

重要区分，本文所有链路分为两类：

• ✅仅普通域用户权限即可发起，不需要主机本地管理员；
• ⚠️需要先拿到某台机器本地管理员权限，再继续提权到域控。

很多提权失败的根源：没有分清攻击前置条件，拿着普通域账号去打需要本地管理员的攻击，浪费大量时间。

2. 链路一：Kerberos 协议系列提权攻击

Kerberos 是 AD 域默认认证协议，该系列攻击全部依赖 Kerberos 协议本身特性，绝大多数只需要普通域用户权限，不需要任何主机管理员权限，红蓝对抗出现频率极高。

2.1 Kerberoasting（烤烤攻击 T1558.003）

原理：域内账号配置 SPN 服务主体名称之后，任意域用户都可以向 KDC 请求该账号的 TGS 服务票据。TGS 票据使用该服务账号 NTLM 哈希加密。攻击者拿到 TGS 票据，导出 hash 字符串，离线使用 hashcat 爆破，如果密码强度弱，直接得到服务账号明文密码。

关键点：不需要抓取内存，不需要登录目标机器，网络层面直接请求票据，离线爆破。如果被爆破出来的服务账号属于高权限组（域管理员、企业管理员、账号拥有 DCSync 权限），直接拿下域控。

前置条件✅普通域用户即可

1. 目标账号注册 SPN；
2. 服务账号密码强度较弱，可以被爆破。

工具实战命令
Impacket（Linux 攻击机）

python3 GetUserSPNs.py corp.local/normaluser:Passw0rd -dc-ip 192.168.10.10 -request

Rubeus（Windows 靶机）

Rubeus.exe kerberoast /outfile:kerb_hash.txt

拿到 hash 之后 hashcat 爆破：

hashcat -m 13100 kerb_hash.txt wordlist.txt

攻击链示例
普通域用户 → Kerberoast 拿到 SQL 服务账号 TGS 哈希 → 爆破得到明文密码 → SQL 账号拥有 DCSync 复制权限 → secretsdump 执行 DCSync 导出全部域哈希 → 域控沦陷。

蓝队检测
安全日志事件 ID：4769 Kerberos 服务票据请求，大量异常服务票据请求。
加固：高权限服务账号使用高强度复杂密码，密码长度大于 24 位，无法离线爆破。

2.2 AS‑REP Roasting（T1558.004）

原理：域账号开启选项Do not require Kerberos preauthentication（不需要 Kerberos 预认证）。攻击者不需要知道账号密码，直接发送 AS‑REQ，KDC 返回 AS‑REP 响应包，响应包中使用该用户 NTLM 哈希加密会话密钥。攻击者拿到数据包 hash，离线爆破密码。

该攻击甚至可以不需要有效域账号，匿名就可以发起请求。很多老旧业务系统为兼容遗留软件错误开启该选项。

前置条件✅：目标账号关闭 Kerberos 预认证。

实战命令 impacket GetNPUsers

python3 GetNPUsers.py corp.local/ -usersfile userlist.txt -dc-ip 192.168.10.10

hashcat 模式-m 18200爆破。

检测：事件 ID 4768，预认证类型为 0 的 TGT 请求；定期审计 AD 账号属性 DONT_REQ_PREAUTH。

2.3 Shadow Credentials 影子凭证攻击

原理：AD 对象存在 msDS‑KeyCredential 属性，存储对象公钥信息。如果攻击者对用户 / 计算机对象拥有GenericWrite / WriteProperty权限，就可以写入攻击者可控的公钥到该属性。之后使用对应的私钥，通过 PKINIT 获取该对象的 Kerberos TGT 票据，不需要知道账号原始密码。

如果写入域控机器账号的 msDS‑KeyCredential，拿到域控机器账号 TGT，机器账号拥有 DCSync 权限，直接导出全部域哈希拿下域控。

前置条件：攻击者对目标 AD 对象拥有GenericWrite / WriteProperty权限；普通域用户默认没有，需要 ACL 配置错误。

工具：Whisker、Rubeus。

# 添加影子凭证 Whisker.exe add /target:DC01$ /domain:corp.local /dc:192.168.10.10 # 使用私钥请求TGT Rubeus.exe asktgt /user:DC01$ /certificate:xxx.pfx /password:xxxx

攻击链路：普通域用户拥有 DC 机器账号 GenericWrite → 写入影子凭证 → 获取域控机器账号 TGT → DCSync 导出域全部凭证。

蓝队检测：监控 msDS‑KeyCredential 属性修改事件，事件 ID4662。

3. 链路二：AD 对象 ACL 访问控制列表滥用（实战出现频率最高）

AD 每一个对象（用户、计算机、组、GPO、OU）都存在 DACL 访问控制列表，定义哪些主体拥有读写权限。企业运维经常做权限委派，极易配置过度授权。很多时候只需要普通域账号，因为 DACL 配置错误，直接获得提权能力GitHub。

3.1 WriteDacl 权限：给自己授予 DCSync 复制权限

DCSync 是域控制器之间同步 AD 密码哈希的协议。一个账号只要拥有两个扩展权限：DS‑Replication‑Get‑Changes、DS‑Replication‑Get‑Changes‑All，就可以伪装域控，向真实域控请求所有账号 NTLM 哈希，也就是 DCSync 攻击，不需要登录域控主机。

如果攻击者对域根对象拥有WriteDacl权限，就可以把上面两个复制权限赋予自己控制的普通域账号。账号立刻拥有 DCSync 能力，直接导出全域哈希。

前置条件✅：对域根对象拥有 WriteDacl 权限。

PowerView 命令演示：

# 给普通账号ituser增加复制权限 Add‑ObjectAcl -TargetDN "DC=corp,DC=local" -PrincipalIdentity ituser -Rights DCSync

授权完成之后直接执行 secretsdump：

python3 secretsdump.py corp.local/ituser:Password@192.168.10.10 -just‑dc

这是护网高频高危漏洞，运维委派审计人员给域根 WriteDacl 权限，直接导致全域沦陷。

3.2 GenericWrite / GenericAll 高危权限

GenericAll完全控制；GenericWrite通用写权限。当对高价值对象拥有这两个权限，有多条提权路子：

1. 对用户对象：直接重置账号密码；增加 SPN，执行 kerberoasting；写入影子凭证。
2. 对计算机对象：写入影子凭证；RBCD 攻击准备条件。
3. 对组对象：把自己账号添加进域管理员组。
4. 对 GPO 对象：GPO 滥用下发恶意策略，前文已经详细讲解。

BloodHound 查询：寻找普通主体对 Domain 对象、DC 机器账号、高权限用户拥有 GenericAll/GenericWrite。

3.3 WriteOwner 所有者权限接管对象

AD 每个对象存在所有者属性，如果攻击者拥有WriteOwner权限，可以修改对象所有者为自己。成为所有者之后，就可以修改 DACL，给自己分配完全控制权限，之后再执行各类攻击。

链路示例：普通账号 WriteOwner 域根对象 → 修改所有者为自己 → WriteDacl 授予 DCSync 权限 → DCSync 导出哈希。

很多企业忽略 WriteOwner 风险，该权限同样属于高危可滥用 ACE。

4. 链路三：各种委派权限滥用

Kerberos 委派，业务场景用于账号代表用户访问其他服务。委派配置错误，红队可以滥用委派实现权限提升。

4.1 非约束委派 Unconstrained Delegation

原理：配置非约束委派的计算机账号。当任意用户访问这台机器，KDC 会把用户完整 TGT 票据发送过来，保存在该机器 lsass 内存当中。

⚠️前置条件：攻击者必须拿到该机器本地管理员权限，抓取 lsass 内存，可以拿到访问本机用户的 TGT。如果域管理员登录过这台开启非约束委派服务器，攻击者 dump 内存拿到域管理员 TGT，直接接管域。

攻击链：普通域用户横向拿到开启非约束委派服务器本地管理员 → 等待域管理员登陆，或者使用 PetitPotam 强制域控机器账号认证本机 → dump 内存拿到域控机器账号 TGT → DCSync 导出全部域凭证。

检测：事件 ID4769，票据转发标志置位。

4.2 约束委派 Constrained Delegation

约束委派限制账号可以代理访问的服务列表。分为两种，协议转换开启（TRUSTED_TO_AUTH_FOR_DELEGATION）风险最大。
攻击者控制拥有约束委派权限账号，可以伪造任意用户，访问被允许的服务。如果允许访问域控 LDAP 服务，攻击者可以伪造域管理员向 LDAP 发起 DCSync。

前置条件：拿到委派账号密码或者哈希。

4.3 RBCD 基于资源的约束委派（Resource‑Based Constrained Delegation）✅普通域用户可打

RBCD：计算机对象属性msDS‑AllowedToActOnBehalfOfOtherIdentity，配置哪些账号可以代表用户访问本机资源。

攻击完整条件

1. 普通域用户拥有创建机器账号权限，MachineAccountQuota 不为 0（域默认等于 10）；
2. 攻击者对目标机器对象（比如域控 DC01$）拥有GenericWrite / WriteProperty权限。

攻击步骤：

1. 普通域用户新建一个受控机器账号；
2. 将新建机器账号写入域控机器账号 msDS‑AllowedToActOnBehalfOfOtherIdentity 属性；
3. 使用新建机器账号，请求票据，代表域管理员身份访问域控 LDAP；
4. 执行 DCSync 导出全部域哈希。

RBCD 是非常经典的提权路径，不需要任何主机本地权限，只需要 AD 对象 ACL 写权限。

工具 impacket addcomputer + getST

# 创建机器账号 python3 addcomputer.py corp.local/normaluser:Passw0rd -computer-name HACK$ -computer-pass 'Qwe@123456' # 设置RBCD属性 python3 rbcd.py -dc‑ip 192.168.10.10 -delegate‑to DC01$ -delegate‑from HACK$ corp.local/normaluser:Passw0rd # 获取模拟域管理员的服务票据 python3 getST.py -spn ldap/DC01.corp.local -impersonate Administrator corp.local/HACK$:'Qwe@123456'

拿到票据之后设置环境变量执行 secretsdump 完成 DCSync。

5. 链路四：AD CS 活动目录证书服务提权 ESC 系列

AD CS 微软证书服务，很多企业部署用于域内设备证书颁发。大量错误模板配置衍生 ESC1‑ESC14 攻击，大部分攻击只需要普通域用户身份，护网当中出现频率极高。

5.1 ESC1 证书模板配置错误

前置条件✅普通域用户：

1. 证书模板开启SubjectAlternativeName(SAN)，申请者可以自定义证书主题；
2. 普通域用户拥有该模板注册 Enroll 权限。

攻击原理：普通用户申请证书的时候，SAN 字段指定域管理员账号，CA 服务器返回一张代表域管理员身份的证书。攻击者使用证书通过 PKINIT 协议拿到域管理员 TGT 票据，接管域。

工具：certipy‑ad。

certipy req -u normaluser@corp.local -p Passw0rd -ca CORP‑CA -template VulnTemplate -subject 'SAN:user=Administrator@corp.local'

拿到 pfx 证书，请求 TGT 票据，之后 DCSync。

5.2 ESC8 NTLM 中继到证书服务 Web 接口

ESC8 不需要模板错误。使用 PetitPotam 强制域控机器账号向攻击者主机做 NTLM 认证，攻击者开启中继服务器，把 NTLM 认证中继到 AD‑CS 的http://ca/certsrv证书申请接口，拿到域控机器账号证书。机器账号自带 DCSync 权限，直接导出全域哈希。

条件：CA 服务器开启 HTTP 证书申请端点；网络允许 NTLM 访问该接口。

攻击链：普通域用户权限 → Coerce 强制域控认证我方主机 → NTLM 中继到 certsrv 拿到 DC 机器证书 → PKINIT 获取 DC TGT → DCSync。

6. 链路五：GPO 组策略对象滥用提权

上一篇文章详细完整讲解 GPO 滥用，这里做链路简要梳理。

攻击条件：普通域账号对链接到 Domain Controllers OU 的 GPO 拥有GenericWrite / GenericAll权限。

攻击链路✅：普通域用户拥有 GPO 编辑权限 → SharpGPOAbuse 下发 GPO 即时计划任务 → 域控 5 分钟组策略刷新，SYSTEM 执行恶意命令 → 添加账号到域管理员组或者 dump 凭证，拿下域控。

注意：如果 GPO 仅仅链接业务服务器 OU，只能拿下业务服务器，还需要二次横向移动才到域控。

衍生攻击：Write‑gPLink 权限投毒，把恶意 GPO 链接到域控 OU。

7. 链路六：强制认证 + NTLM 中继攻击（PetitPotam / Coerce）

PetitPotam、DFSCoerce，是强制认证协议漏洞。普通域用户权限即可，向远程服务器发送 MS‑EFSRPC / DFS 请求，强制目标主机主动回连攻击者控制机器，发起 NTLM 认证。

本身该漏洞不是直接提权漏洞，是一个 “身份诱饵”，经常作为各类攻击的前置环节：

1. 配合 ESC8：强制域控回连我方，NTLM 中继到 AD‑CS 获取 DC 证书；
2. 配合非约束委派：强制域控机器账号访问开启非约束委派服务器，TGT 被抓取；
3. 配合 SMB 中继，把 NTLM 中继到其他主机 SMB 服务获取本地管理员。

关键点：PetitPotam 只是诱导认证，单独使用无法直接提权，必须搭配后面中继链路完成完整攻击。

命令示例 impacket petitpotam：

python3 petitpotam.py 192.168.10.20(攻击机IP) 192.168.10.10(域控IP)

8. 链路七：历史经典域提权 CVE 漏洞

这类属于微软历史漏洞，没有打补丁环境可以直接普通域用户提权域控；现在生产环境大多已经修复，靶场经常见到。

8.1 MS14‑068 CVE‑2014‑6324 Kerberos PAC 漏洞

漏洞原理：普通域用户，可以伪造高权限 PAC，申请 TGT 票据，直接提升域管理员权限。

适用未打 KB3011780 补丁的旧 Windows 域控。
工具 ms14‑068，生成伪造票据导入内存完成提权。

8.2 CVE‑2022‑26923 ADCS 计算机账号提权

普通域用户创建机器账号，篡改机器账号 dnsHostName 属性伪装域控主机，向 AD‑CS 申请域控证书，拿到证书后 DCSync。

需要部署 AD CS，未打对应系统补丁。

9. 链路八：凭证抓取 + 横向移动间接拿到域控权限

这一类链路不能纯靠普通域网络权限完成，需要先拿到某一台 Windows 主机本地管理员权限，抓取内存凭证，再横向到域控。内网渗透当中最常用的现实路径。

9.1 抓取域管理员登录服务器内存凭证

攻击链路：普通域用户 → 拿到业务服务器本地管理员权限 → 该服务器上存在域管理员登录会话 → 使用 mimikatz、lsass 转储工具抓取 lsass 进程内存，导出域管理员 NTLM 哈希 → PTH 哈希传递，wmiexec/psexec 登录域控制器。

很多企业域管理员习惯登录业务服务器运维，造成凭证泄露，这是真实护网当中最高概率拿下域控的路径。
风险：现代 Windows 开启 LSA 保护，会加大 dump lsass 难度。

9.2 GPP MS14‑025 SYSVOL 读取 Groups.xml

✅普通域用户即可读取 SYSVOL 共享，读取 Groups.xml 解密密码。如果里面保存域管理员密码，直接拿到明文登录域控。
现状：大部分环境已经打补丁，但老旧遗留 xml 文件依然存在。

10. 靶场完整实战：普通域用户多条攻击路径对比

靶场环境：corp.local，域控 DC01 (192.168.10.10)，攻击者账号 normaluser（普通域用户，无本机管理员）。

靶场渗透顺序建议：拿到普通域账号之后，第一步 BloodHound 导入数据，优先找 ACL 类漏洞、AD‑CS 漏洞、GPO 漏洞；其次做 Kerberoast 爆破；最后寻找横向机器抓取内存凭证。

11. 真实护网案例复盘：低权限账号 4 小时拿下域控完整链路

某中型企业护网红蓝对抗事件。

1. 红队通过外网 Web 漏洞拿到一台办公工作站 Webshell，提权到本机普通域用户 normaluser，没有本机管理员权限；
2. 上传 SharpHound 采集 AD 数据，导入 BloodHound 分析 AD 关系图；
3. 分析结果发现两点风险：
   • AD CS 存在 ESC1 漏洞，模板 UserTemplate 允许普通用户注册，支持自定义 SAN；
   • 同时发现另外一条备选路径：Helpdesk 组账号对业务基线 GPO 拥有 GenericWrite，但是 GPO 只链接业务服务器 OU，不能直接打域控。
4. 优先选择 ESC1 路径，使用 certipy 工具，normaluser 账号申请证书，SAN 指定域管理员 Administrator；
5. CA 返回合法域管理员身份 pfx 证书；使用证书 PKINIT 请求 TGT 票据；
6. 导入票据，执行 DCSync，直接从域控制器导出全部域账号 NTLM 哈希；
7. 获取域管理员哈希，wmiexec 登录域控主机，完成全域接管。

根因总结：

1. AD CS 证书模板配置错误，给全部域用户 Enroll 注册权限，开启 SAN 替代名称；
2. 长期没有审计 AD CS 证书模板安全配置；
3. 没有监控异常证书申请行为；
4. 没有定期运行 BloodHound 类工具审计 ACL 风险。

整改：修复 ESC1 证书模板，移除普通用户注册权限；开启 CA 证书申请审计日志；定期 AD 权限审计。

12. BloodHound 快速寻找提权路径的查询语句汇总

拿到普通域账号，采集 SharpHound 数据之后，直接运行下面预定义查询快速定位提权链路。

1. Find Shortest Paths to Domain Admins【最重要】寻找从当前账号到域管理员组最短攻击路径，直接看完整攻击链；
2. Find Kerberoastable Users可 Kerberoast 爆破账号；
3. Find Users with AS‑REP Roastable accountsAS‑REP 高危账号；
4. Find GPOs with Dangerous ACLs危险 ACL 的 GPO；
5. Find OUs with Write‑GPLink rightsWrite‑gPLink 权限 OU；
6. All AD CS Templates vulnerable to ESC1ESC1 风险证书模板；
7. Find principals with DCSync rights已经拥有 DCSync 权限账号；
8. Find RBCD relationshipsRBCD 配置关系。

实战建议：优先看最短攻击路径，BloodHound 会直接画出完整攻击链路，告诉你需要走哪一条提权。

13. 蓝队检测方案：每条提权链路对应的安全日志事件 ID

防御 AD 提权攻击，域控制器必须开启目录服务对象审计 SACL，否则大量 ACL 修改事件不会生成日志。

Defender for Identity（DID）内置告警：可疑 DCSync、可疑 Kerberoasting、异常证书申请、异常组策略修改，可以极大降低检测工作量。

SIEM 狩猎关键字示例

#狩猎DCSync行为 EventID=4662 AND Properties contains "DS‑Replication‑Get‑Changes‑All" #狩猎影子凭证属性修改 EventID=4662 AND AttributeID=133135 #狩猎异常证书颁发 EventID=4887

应急处置要点：
发生域提权沦陷，不能仅仅修改被攻陷账号密码。

1. 判断攻击链路，是票据攻击、ACL 篡改还是证书；
2. KRBTGT 账号密码必须修改两次（黄金票应急标准处置）；
3. 撤销恶意颁发证书；
4. 清理被篡改的 AD 对象 DACL、属性；
5. 所有域内账号重置密码；
6. 审计全部 GPO，恢复备份；
7. 排查是否留下持久化后门。

14. AD 域生产环境统一加固清单

1. 最小权限原则，严控 ACL 委派
   不要随意给普通业务、运维账号授予 GenericWrite、GenericAll、WriteDacl、WriteOwner 权限；非必要不委派域根对象权限。定期使用 BloodHound 审计 AD 全部对象 DACL。
2. Kerberos 安全加固

• 禁止业务账号关闭 Kerberos 预认证；
• 所有服务账号 SPN 账号使用 24 位以上高强度随机密码，抵御 Kerberoasting 离线爆破；
• 限制 MachineAccountQuota 机器账号创建数量，不需要就设置为 0，阻断 RBCD 攻击基础条件。

3. AD‑CS 证书服务加固

• 审计全部证书模板，关闭不必要 SAN 替代名称功能；严格控制模板 Enroll 注册权限；
• 不需要 HTTP cersrv 接口直接关闭，缓解 ESC8 风险；
• 开启 CA 证书申请审计，监控异常证书颁发行为。

4. GPO 组策略安全管控

• 关键域控 OU 链接 GPO 仅允许域管理员组编辑；
• 开启 SYSVOL 文件夹文件审计；定期备份 GPO；清理 SYSVOL 遗留 GPP Groups.xml 文件。

5. 域管理员运维规范
   域管理员账号禁止登录普通业务服务器、办公工作站，防止 lsass 内存凭证泄露，建立 Tier 分层运维模型。开启 LSA 保护，防止 lsass 进程被轻易转储。
6. 域控制器全面开启审计策略
   开启目录服务对象访问审计 SACL；开启 Kerberos 认证审计；日志集中上传 SIEM 平台。部署 Defender for Identity 做域行为检测。
7. 域控服务器及时安装 Windows 安全补丁，修复 PetitPotam、各类 CVE 域提权漏洞。

15. 高频面试考点整理

1. 哪些提权攻击仅仅普通域用户就可以完成，不需要主机本地管理员？
   Kerberoasting、AS‑REP Roasting、RBCD（条件满足）、ESC1 ESC8 AD‑CS 攻击、GPO 滥用（对应 GPO 权限）、WriteDacl 域根对象、影子凭证、PetitPotam 强制认证。
2. DCSync 攻击需要什么权限，不需要登录域控主机吗？
   需要两个 AD 复制扩展权限 DS‑Replication‑Get‑Changes、DS‑Replication‑Get‑Changes‑All；不需要登录域控主机，LDAP 协议直接完成哈希同步读取。
3. RBCD 攻击前置条件是什么？
   攻击者对目标计算机对象拥有 GenericWrite/WriteProperty；域环境 MachineAccountQuota 允许普通用户创建机器账号。
4. Kerberoasting 和 AS‑REP Roasting 区别？
   Kerberoasting：请求 TGS 票据，目标账号拥有 SPN，必须先有效域身份；
   AS‑REP Roasting：请求 AS‑REP，账号关闭预认证，可以匿名发起。
5. Shadow Credentials 影子凭证攻击原理？
   对 AD 对象拥有写权限，写入攻击者可控公钥 msDS‑KeyCredential 属性，使用私钥 PKINIT 获取该对象 TGT 票据，不需要原始账号密码。
6. ESC1 漏洞原理，属于什么服务？
   AD CS 活动目录证书服务，证书模板允许申请者自定义 SAN 主题替代名称，普通用户申请证书冒充域管理员。
7. PetitPotam 可以直接提权域控吗？
   不能，仅仅是强制目标机器回连发起 NTLM 认证，需要配合中继（ESC8/SMB 中继）完成完整攻击。
8. 拿到普通域账号，BloodHound 优先看哪一项查询？Find Shortest Paths to Domain Admins，最短路径到域管理员，直接梳理攻击链路。
9. 域管理员登录业务服务器会带来什么风险？
   会在业务服务器 lsass 内存留下域管理员凭证，如果攻击者拿到该服务器本地管理员权限，可以 dump 内存抓取域管理员哈希，直接横向接管域控。
10. AD 域沦陷之后应急，为什么 KRBTGT 账号需要修改两次密码？
    KRBTGT 密钥用于加密全部 TGT 票据，旧密钥生成的黄金票据仍然有效；修改两次密码，彻底作废全部旧票据。

16. 全文总结

本文梳理了从普通域用户到域控制器主流完整提权链路，分为协议攻击、ACL 滥用、委派滥用、AD‑CS 证书、GPO 组策略、强制认证中继、历史 CVE 漏洞、凭证抓取横向八大类别。

1. 很多高危提权链路不需要获取主机本地管理员，仅凭普通域账号身份，依靠 AD 配置错误就能够拿下域控，这也是红蓝对抗当中最需要重视的风险点。
2. 真实渗透流程：拿到普通域账号，优先 SharpHound 采集 AD 数据，BloodHound 分析最短攻击路径，判断当前环境满足哪条攻击链路前置条件，不要盲目逐个尝试漏洞。
3. ACL 权限委派、AD‑CS 证书模板错误、GPO 权限下放、RBCD 条件配置，是现在护网出现频率最高的高危配置缺陷，远多于老旧 CVE 漏洞。
4. 蓝队防御不能只依靠打补丁；大量攻击利用 Windows 合法协议功能，补丁无法修复，必须依靠最小权限配置、定期审计 AD 对象 DACL、开启完整审计日志、部署域行为检测。
5. 应急处置 AD 域沦陷，仅仅修改被入侵账号密码远远不够，要根据攻击链路，清理 AD 篡改对象、撤销恶意证书、轮换 KRBTGT 密钥，完成完整处置。

技术声明：全部域提权技术仅限授权靶场、授权红蓝对抗使用，严禁未授权操作企业生产 AD 域。

如何系统学习网络安全？

网络安全作为数字时代的核心技术基石，已成为保障各行业安全稳定运行的坚实屏障。筑牢网络安全的防线，掌握先进的防护策略和技能正上升为国家与企业发展的战略优先级。

构建稳固的网络安全能力是一个体系的工程，需要从夯实基础理论出发，持续深化到攻防对抗与应急响应的实战层面。

如果你是准备学习网络安全（黑客）或者正在学习，我可以把我自用的360独家内部资料分享给你，包含以下内容你应该能用得上：

①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

一、网络安全（黑客）学习路线

网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。

二、网络安全教程视频

我们在看视频学习的时候，不能光动眼动脑不动手，比较科学的学习方法是在理解之后运用它们，这时候练手项目就很适合了。

三、网络安全CTF实战案例

光学理论是没用的，要学会跟着一起敲，要动手实操，才能将自己的所学运用到实际当中去，这里带来的是CTF&SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~

四、网络安全面试题

最后，我们所有的作为都是为就业服务的，所以关键的临门一脚就是咱们的面试题内容，所以面试题板块是咱们不可或缺的部分，这里我给大家准备的就是我在面试期间准备的资料。

网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的网络安全学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】