从工作组到域环境：攻击者视角理解域环境信任关系-迪斯科星球

🔒免责声明：本文所有内容仅供授权红蓝对抗、渗透测试学习研究，禁止在未授权企业内网、生产域环境执行探测、攻击操作，未授权访问属于违法行为。全部演示均搭建于本地 AD 靶场环境。

- 1. 工作组 VS AD 域：信任的起源
- - 1.1 工作组环境：零信任的局域网
  - 1.2 单 AD 域环境：域内天然双向可传递信任
  - 1.3 域树、域森林基础概念
- 2. 域信任两大基础属性：信任方向、可传递 / 不可传递
- - 2.1 信任方向：单向信任 / 双向信任
  - 2.2 可传递信任 vs 不可传递信任
- 3. AD 五种信任类型完整解析
- - 3.1 父子信任 Parent‑Child
  - 3.2 树根信任 Tree‑Root
  - 3.3 快捷信任 Shortcut（链接信任）
  - 3.4 外部信任 External Trust
  - 3.5 林信任 Forest Trust
  - 五种信任汇总简表
- 4. 关键机制：域间信任密钥、SID‑History、SID 过滤（SID Filtering）
- - 4.1 域间信任密钥（Inter‑Domain Trust Key）
  - 4.2 SID‑History（SID 历史）属性
  - 4.3 SID 过滤 SID Filtering（也叫 Quarantine 隔离）
- 5. 实战：如何枚举域信任关系（cmd、powershell、BloodHound）
- - 5.1 CMD 原生命令
  - 5.2 Powershell（需要 ActiveDirectory 模块，RSAT）
  - 5.3 PowerView
  - 5.4 BloodHound 采集信任信息
- 6. 林内信任攻击：子域沦陷→父域森林权限（ExtraSids 黄金票据）
- 7. 外部信任、林信任的攻击思路与边界限制
- - 7.1 外部信任（两个域，不可传递）攻击思路
  - 7.2 林信任（打通两个完整森林，可传递，SID 过滤开启）
- 8. 域信任实战场景案例拆解
- - 案例 1：分公司子域被攻击者攻陷，直接拿下总公司根域
  - 案例 2：与合作厂商建立外部信任，厂商 AD 被入侵，我方内网被突破
  - 案例 3：管理员为迁移业务，手动关闭林信任 SID 过滤，灾难发生
- 9. BloodHound 图谱看懂信任关系，识别潜在攻击路径
- 10. 域信任常见踩坑与误区汇总
- 11. 蓝队运维视角：域信任加固与风险审计
- 12. 学习总结
- 最后
- - 网络安全需要学习那些知识
  - - 网络安全零基础入门学习路线&规划
    - 网络安全工程师企业级学习路线

摘要
很多内网渗透学习者可以熟练复现单域内的攻击：Kerberoasting、DCSync、黄金票据，但是一旦遇到父子域、多域树、多森林架构就直接卡住。核心卡点就是看不懂域信任关系。

工作组时代机器之间互不信任；加入 AD 域之后，域与域之间建立信任，实现跨域身份认证与资源访问。信任关系本身是管理员为业务互通建立的合法机制，但攻击者可以滥用信任边界实现横向突破：子域沦陷直接拿下父域森林权限、通过外部信任打入合作单位内网、利用快捷信任缩短攻击路径。

本文站在攻击者视角，从工作组基础讲起，循序渐进讲解域信任的核心概念：信任方向、可传递与不可传递、5 大类信任类型、SID 过滤、SID‑History 历史 SID，结合实战枚举命令、攻击原理、真实场景案例，同时梳理蓝队加固方案。读完本篇，能够看懂 BloodHound 信任图谱，理解子域到父域提权原理，分清林内信任和跨林信任攻击边界，不再死记硬背攻击命令。适合内网渗透初学者、红蓝对抗人员、安全运维阅读。

前言
工作组模式：每一台主机完全独立，本机 SAM 管理账号。机器 A 访问机器 B 共享，必须输入 B 机器本地账号密码。机器之间没有任何默认信任，每一次访问都要单独认证。就像一群互不认识的人，互相打交道都要出示自己证件。

当企业规模扩大，几十上百台机器，工作组管理成本爆炸，于是引入 AD 活动目录域。同一个域内，所有机器信任域控制器，域账号一次认证，登录任意域内主机。

企业业务进一步扩张：分公司独立子域、并购子公司形成多森林、合作伙伴需要互相访问业务资源。这就出现多个 AD 域，不同域之间账号体系互相独立。想要 A 域用户访问 B 域文件服务器，总不能让用户记住两套账号密码。微软解决方案就是域信任关系（Domain Trust）。

信任通俗理解：A 域声明 “我信任 B 域的身份认证结果”。B 域认证通过的用户，在满足权限前提下，可以访问 A 域资源。

很多教程只讲攻击命令，不讲信任底层逻辑，造成大量误区：

子域 Domain Admins 账号，自动拥有父域全部权限。❌
只要建立双向信任，就可以无条件跨域拿到对方域管理员。❌
外部信任和父子信任攻击方式完全一样。❌
跨森林信任和林内信任没有区别。❌

信任不是无条件通行证，信任有方向、有传递性、有 SID 过滤保护。攻击者的工作就是寻找信任机制当中的逻辑缺口，突破域边界。

1. 工作组 VS AD 域：信任的起源

1.1 工作组环境：零信任的局域网

工作组没有中心服务器，每台计算机自己保管 SAM 账号数据库。

PC‑A 想要访问 PC‑B 的共享文件夹，必须提供 PC‑B 本地账号密码；
PC‑A 的本地账号，默认在 PC‑B 上完全无效；
机器之间不存在任何自动信任，每台机器自己决定信任谁。

优点：简单，小型家庭、小作坊使用。
缺点：机器数量一多，账号密码管理灾难。100 台机器，每台机器维护一套账号。

工作组不存在域信任概念，信任完全由单台机器本地 ACL 控制。

1.2 单 AD 域环境：域内天然双向可传递信任

当多台计算机加入同一个 AD 域corp.local。

所有账号保存在域控 ntds.dit；
域内全部计算机天然信任本域域控给出的身份认证结果；
corp.local\user域账号，可以登录任意域内主机（受本地登录策略限制）；
同一个域内部，不需要手动建立信任，域内所有对象默认互相信任。

但如果现在企业新增子公司，新建子域child.corp.local，子域和父域是两套 AD 数据库，账号互相隔离。子域用户默认无法访问父域资源。微软自动创建父子信任打通身份认证。

1.3 域树、域森林基础概念

域树 Domain Tree：拥有连续 DNS 命名空间，父域corp.local，子域child.corp.local，孙子域dev.child.corp.local，构成一棵域树。父子之间自动生成父子信任。
域森林 Forest：一个或多棵域树组成森林。森林根域就是第一台创建的域。森林内部所有域之间信任互通。不同域树之间存在树根信任。

森林边界：默认情况下，不同森林之间完全不信任，想要互通，管理员手动创建林信任或者外部信任。

攻击者视角关键点：
同一森林内部的信任默认关闭 SID 过滤；跨森林信任默认开启 SID 过滤。这直接决定攻击能否跨域提权，是域信任最重要的分界线。

2. 域信任两大基础属性：信任方向、可传递 / 不可传递

每一条域信任，都具备两个核心属性：信任方向、传递性。看懂这两个属性，就能读懂绝大多数信任配置。

2.1 信任方向：单向信任 / 双向信任

信任是单向声明。A 信任 B，不等于 B 自动信任 A。

单向传入信任（Inbound）：A 域信任 B 域。B 域用户可以访问 A 域资源；A 域用户不能访问 B 域资源。
单向传出信任（Outbound）：B 域信任 A 域。A 域用户可以访问 B 域资源；B 域用户不能访问 A 域资源。
双向信任：A 信任 B，同时 B 信任 A。两边域用户都可以互相访问对方资源。

举通俗例子：
单向：甲方 (A) 信任乙方 (B) 员工工牌，乙方员工可以进入甲方大楼；但甲方工牌不能进入乙方大楼。
双向：甲乙双方互相认可对方工牌，两边人员都可以互相出入大楼。

坑点：双向信任≠权限对等。只是身份可以跨域认证，能不能读写资源，依旧要看目标资源 ACL 权限。信任解决 “你身份能不能被识别”，ACL 解决 “你有没有权限访问”。很多新手混淆信任和资源权限。

2.2 可传递信任 vs 不可传递信任

可传递信任 Transitive：信任可以沿着信任链条传递下去。

A 信任 B，B 信任 C；可传递条件下，A 自动信任 C。
父子信任、树根信任、快捷信任、林信任属于可传递。

不可传递信任 Non‑Transitive：信任只存在两个域之间，不会传递给第三方域。

A 信任 B，B 信任 C；A 不会自动信任 C。外部信任默认不可传递。

实战记忆：
✅森林内部自动生成的信任（父子、树根）：全部双向、可传递。
✅手动创建外部信任：默认不可传递，单向或双向。
✅林信任：可传递，单向 / 双向，跨两个独立森林。

属性	含义	典型信任类型
双向可传递	互相认证，信任沿链条传递	父子信任、树根信任、快捷信任、林信任
单向可传递	单方向认证，信任可传递	手动配置快捷信任、林信任
双向不可传递	互相认证，不传递第三方	外部信任
单向不可传递	单向认证，不传递第三方	外部信任

攻击实战意义：不可传递的外部信任，攻击路径被锁死在两个域之间，不能顺着信任跳到第三个域。

3. AD 五种信任类型完整解析

AD 一共 5 种标准信任类型，不同信任安全边界、攻击面完全不同，这是域渗透必背知识点Microsoft …。

3.1 父子信任 Parent‑Child

创建时机：新建子域的时候，系统自动生成，不需要管理员手动操作。
方向：双向、可传递。
场景：父域corp.local↔ 子域child.corp.local。
特点：属于同一个森林。默认关闭 SID 过滤。这就是子域域管理员可以伪造票据提升到森林企业管理员的根源条件。
存储：每个域保存一条域间信任密钥，周期性自动更新。

攻击者重点：拿下子域域控，拿到 krbtgt 哈希，可以伪造带 ExtraSids 的黄金票据，直接获取森林 Enterprise Admins 权限，打通整个森林。这是护网非常经典的攻击链路。

3.2 树根信任 Tree‑Root

创建时机：向现有森林新增第二棵域树，系统自动生成树根信任。
方向：双向、可传递；同森林，关闭 SID 过滤。
场景：森林根域corp.local，新增另一棵域树branch.local，两棵树根之间自动生成树根信任。两棵域树命名空间完全不连续。
攻击特性和父子信任完全一致，同样支持 ExtraSids 票据提权到企业管理员。

3.3 快捷信任 Shortcut（链接信任）

创建时机：管理员手动创建。
方向：单向或者双向，可传递；同森林，关闭 SID 过滤。
业务用途：大型复杂森林，域树层级很深，认证需要绕很长信任链条，网络慢。管理员手动创建快捷信任，缩短认证路径，加快身份认证速度。
攻击面：和父子信任完全一样，关闭 SID 过滤，可以被滥用跨域提权。BloodHound 会标记 Shortcut 信任。

3.4 外部信任 External Trust

创建时机：管理员手动创建。
用途：连接两个不同森林的单个域，不是整个森林。只对指定两个域生效。
方向：单向 / 双向；不可传递。
关键安全机制：默认开启 SID 过滤 SID Filtering。

SID 过滤开启之后，票据里面外来 SID 会被过滤，阻止 ExtraSids 伪造高权限 SID 提权。
局限：只能两个域之间互通，信任不会传递到对方森林其他域。

实战场景：A 公司某业务域，和合作 B 公司的某一个业务域打通，建立外部信任。
攻击者注意：外部信任开启 SID 过滤，无法直接票据伪造跨林拿对方企业管理员。但是依旧可以利用 ACL 配置缺陷，如果对方域账号被加入我方机器本地组，或者我方账号被授予对方资源权限，可以横向移动。

3.5 林信任 Forest Trust

创建时机：管理员手动创建，只能在两个森林根域之间建立。
方向：单向 / 双向；可传递。打通两个完整森林，森林下面所有域都获得认证通路。
安全机制：默认开启 SID 过滤。阻止直接 ExtraSids 票据提权。
和外部信任区别：外部信任只绑定两个域；林信任打通整个森林全部域。

现实企业场景：母公司和收购子公司两套 AD 森林，建立林信任实现全部域资源互通。

补充：Realm 领域信任，用于 AD 和非 Windows Kerberos 系统互通，实战很少遇到。

五种信任汇总简表

信任类型	自动 / 手动	传递性	同森林	默认 SID 过滤	核心攻击特点
父子信任	自动	可传递	是	关闭	子域 DA 伪造票据获取森林 EA 权限
树根信任	自动	可传递	是	关闭	同父子信任，跨域树提权
快捷信任	手动	可传递	是	关闭	缩短信任路径，同样可票据提权
外部信任	手动	不可传递	否	开启	仅限两个域，SID 过滤阻挡票据伪造提权
林信任	手动	可传递	否	开启	打通整个森林，SID 过滤保护，靠 ACL 缺陷攻击

最重要记忆：同一个森林内部所有自动 / 手动信任，SID 过滤默认关闭；跨森林（外部信任、林信任）SID 过滤默认开启。

4. 关键机制：域间信任密钥、SID‑History、SID 过滤（SID Filtering）

这三个底层概念，直接决定域信任攻击能不能成功，很多教程一笔带过。

4.1 域间信任密钥（Inter‑Domain Trust Key）

两个域建立信任之后，会生成一个强随机密码，叫做域间信任密钥，存储在两边域控 ntds.dit 数据库。
Kerberos 跨域认证流程：

用户在子域拿到 TGT；
向本地 KDC 请求访问父域资源；
KDC 使用域间信任密钥签发一张跨域 TGT（Referral Ticket）；
用户拿着 Referral Ticket 去往目标域 KDC，换取访问资源的 TGS 票据。

攻击者：如果拿到域间信任密钥，就可以自己伪造 Referral Ticket 跨域。在 mimikatz、Rubeus 工具可以导出信任密钥。域间密钥会周期性自动轮换。

4.2 SID‑History（SID 历史）属性

SID：安全标识符，域、用户、组唯一身份编号。例如域 SIDS‑1‑5‑21‑xxx，Domain Admins RID‑512，Enterprise Admins RID‑519。

SID‑History 是用户对象的一个 AD 属性，设计初衷用于域迁移。
场景：把旧域用户迁移到新域，旧域账号 SID 写入 SID‑History 属性。用户迁移之后，依然可以访问旧域遗留资源。当 Kerberos 生成票据，SID‑History 里面全部 SID 会复制到票据 PAC 的 ExtraSids 字段。目标域会认可这些 SID 对应的权限。

攻击滥用：

同森林信任 SID 过滤关闭，攻击者伪造 TGT 票据，手动在 ExtraSids 写入父域 Enterprise Admins 的 SID。虽然账号本身不是企业管理员，但票据携带这个 SID，父域直接授予企业管理员权限，完成子域→父域提权。这就是著名的子域沦陷拿下整个森林攻击。
如果 SID 过滤开启，目标域会直接丢弃票据中来自外部域的 ExtraSids，攻击失效。

4.3 SID 过滤 SID Filtering（也叫 Quarantine 隔离）

SID 过滤是 AD 的安全防护机制，专门用来防御 SID‑History/ExtraSids 滥用。

开启 SID 过滤：目标域会把 Kerberos 票据 PAC 里面不属于本域的外来 SID 全部过滤丢弃。外来 SID 不参与权限计算。阻止攻击者注入外部高权限 SID。
关闭 SID 过滤：不会过滤外来 SID，票据 ExtraSids 里面 SID 全部生效。

微软默认配置铁律：
✅同一个森林内部信任，SID 过滤默认关闭。因为森林内部各个域完全互相信任，假设森林所有域都受同一批管理员管控，不需要隔离。带来巨大攻击风险：只要任意一个子域沦陷，整个森林面临沦陷风险。
✅跨森林信任（外部信任、林信任）SID 过滤默认开启。不同森林属于不同管理主体，默认开启隔离保护。

运维常见致命错误：为了解决迁移业务权限问题，管理员手动关闭跨林信任 SID 过滤，直接摧毁安全边界。

5. 实战：如何枚举域信任关系（cmd、powershell、BloodHound）

拿到普通域用户权限，就可以枚举全部信任关系，不需要管理员权限。渗透测试拿到 shell 第一件事，枚举信任，绘制信任拓扑，寻找潜在跨域攻击路径。

5.1 CMD 原生命令

# 枚举当前域全部信任关系 nltest /domain_trusts # netdom查询信任（需要RSAT工具） netdom query trust

nltest 输出会展示：信任域名、信任方向、传递性。普通域用户即可执行。

5.2 Powershell（需要 ActiveDirectory 模块，RSAT）

# 获取全部信任对象 Get-ADTrust -Filter * # 筛选输出信任名称、方向、是否可传递、SID过滤状态 Get-ADTrust -Filter * | select name,Direction,Transitive,SIDFilteringQuarantined

SIDFilteringQuarantined=True代表 SID 过滤开启；False 代表 SID 过滤关闭。这个字段是红队重点观察。

5.3 PowerView

Get‑DomainTrust Get‑ForestTrust

5.4 BloodHound 采集信任信息

bloodhound‑python 采集器，普通域账号即可采集信任数据：

bloodhound-python -d child.corp.local -u user -p pass -c all -ns 192.168.1.10

导入 BloodHound，点击Domain对象，右侧面板Trusts标签，可视化全部信任图谱。
图谱线条含义：

箭头指向：信任方向；
线条标注 Transitive 代表可传递；
可以直接观察哪些信任 SIDFilter 关闭，识别高危父子 / 树根信任。

红队工作流：拿到域 shell，第一步枚举信任。如果存在子域，那么拿下子域域控就可以冲击整个森林。

6. 林内信任攻击：子域沦陷→父域森林权限（ExtraSids 黄金票据）

攻击前置条件：

攻击者已经获取子域 Domain Admins 权限；
父子信任属于同一森林，SID 过滤关闭；
获取子域 krbtgt 账号 NTLM‑Hash。

攻击原理回顾：同森林信任关闭 SID 过滤，伪造 TGT 票据，在 PAC 的 ExtraSids 字段注入父域**Enterprise Admins（RID519）**的 SID。父域 KDC 不会过滤外来 SID，直接把票据解析为企业管理员权限，从而获得整个森林最高权限。

注意：不需要攻破父域任何机器，仅仅攻陷子域域控，就可以完成森林权限接管。这是很多企业 AD 架构最危险的地方。

简要实战步骤（靶场仅学习）：

子域域控 dump ntds，拿到子域 krbtgt hash；
查询森林根域 Enterprise Admins 组完整 SID；
使用 Rubeus 或者 mimikatz 生成伪造黄金票据，/sids参数写入父域 EA SID；
票据传递 PTT 到内存；
直接向根域域控发起 DCSync，导出森林根域全部账号哈希。

关键点：这个票据身份依旧是子域普通账号，但是 ExtraSids 携带企业管理员 SID。访问森林内任意域资源，都会拥有 EA 权限。

误区纠正：这个攻击不是把账号添加进 Enterprise Admins 组。只是票据层面伪造 SID，AD 数据库账号属性本身没有任何修改，属于内存票据层面权限维持。重启机器票据消失。想要持久化，可以修改账号对象 SID‑History 属性写入 EA 的 SID。

风险点：整个森林只要任意一个子域被攻陷，整个森林全部沦陷。很多企业认为子域做隔离，实际同森林没有安全隔离效果。

7. 外部信任、林信任的攻击思路与边界限制

外部信任、林信任属于跨森林信任，默认开启 SID 过滤，ExtraSids 注入提权攻击直接失效，不能简单复制子域到父域攻击手法。很多新手踩坑，拿外部信任尝试 ExtraSids，攻击完全无效。

但不代表跨林信任完全没有攻击面，攻击者转向其他攻击链路。

7.1 外部信任（两个域，不可传递）攻击思路

攻击只能局限建立信任的两个域，不会传递到对方森林其他域。可利用方向：

ACL 权限配置缺陷：对方域账号被添加到本机器本地管理员组；我方域账号被对方域 ACL 授予高权限（GenericAll、WriteDacl）；
枚举信任对方域用户，寻找凭证泄露；
如果管理员人为关闭 SIDFilteringQuarantined，就可以复用 ExtraSids 票据攻击。

现实运维经常为解决业务权限，手动关闭 SID 过滤，造成巨大安全隐患。

7.2 林信任（打通两个完整森林，可传递，SID 过滤开启）

攻击边界：SID 过滤阻挡票据 SID 注入。攻击路径来源几乎全部来自资源 ACL 配置错误。
常见风险场景：

管理员将 A 森林账号，加入 B 森林某服务器本地 Administrators 组；攻击者拿到 A 森林权限，就可以横向进入 B 森林该服务器，dump 内存窃取 B 森林凭证；
B 森林 OU、用户对象 ACL 赋予 A 森林账号高危写入权限；
对方域的组，加入我方本地高权限组。

红队实战：跨林信任很难直接 “票据爆破”，需要寻找资源授权漏洞，一点点横向渗透。BloodHound 可以查询跨森林对象的 ACL 关系。

重点：外部信任和林信任最大威胁不是 Kerberos 票据伪造，而是管理员配置不当，把外部域账号加入本地高权限组。很多企业忽略审计外部域主体的 ACL 权限。

8. 域信任实战场景案例拆解

案例 1：分公司子域被攻击者攻陷，直接拿下总公司根域

架构：森林根域corp.local，子域branch.corp.local，父子信任，同森林，SID 过滤关闭。
事件：分公司 web 服务器存在漏洞，攻击者拿到 shell，横向拿下子域域控，导出子域 krbtgt 哈希。
攻击：生成 ExtraSids 黄金票据，注入根域 Enterprise Admins SID，直接 DCSync 根域，整个企业 AD 森林沦陷。
运维误区：以为把子公司部署独立子域，可以隔离安全风险。同一森林子域没有安全隔离能力，一个子域失守等于整个森林失守。

案例 2：与合作厂商建立外部信任，厂商 AD 被入侵，我方内网被突破

架构：我方域corp‑cn.local，合作厂商域partner‑cn.local，建立双向外部信任。SID 过滤默认开启。
事件：合作厂商 AD 沦陷，攻击者拿到厂商域权限。SID 过滤开启，无法直接票据提权我方域管理员。但是我方运维为业务方便，把厂商域业务账号加入我方业务服务器本地管理员组。
攻击路径：攻击者使用厂商账号，访问我方业务服务器，dump lsass 拿到我方服务器内存凭证，以此向内网继续渗透。

启示：就算开启 SID 过滤，外部信任依旧风险巨大，严格禁止外部域账号加入本地管理员组。

案例 3：管理员为迁移业务，手动关闭林信任 SID 过滤，灾难发生

母公司森林 A，收购公司森林 B，建立双向林信任。迁移业务遇到权限问题，管理员关闭 SIDFilteringQuarantined。
后果：森林 B 任意域沦陷，攻击者就可以 ExtraSids 注入，直接拿到森林 A 企业管理员权限，跨森林接管整个 AD。

9. BloodHound 图谱看懂信任关系，识别潜在攻击路径

BloodHound 是分析域信任最直观工具，很多人看不懂图谱信息。

选中 Domain 对象，右侧面板Trusts列表，列出该域全部信任；
字段观察点：

Target Domain：信任目标域名；
Direction：Inbound/Outbound 双向；
Transitive：True = 可传递；
SID Filtering Quarantined：True 开启 SID 过滤；False 关闭 SID 过滤（高危！）。

红队快速判断：只要看到 SIDFilteringQuarantined=False，代表这条信任可以被 ExtraSids 票据滥用。绝大多数情况就是同森林父子、树根、快捷信任。

图谱箭头：箭头从 “信任方” 指向 “被信任方”。
A → B：A 域信任 B 域，B 域用户可以访问 A 域资源。

重要提醒：BloodHound 里面 Trust 只是身份认证通路，不等于访问权限。即使存在信任，没有 ACL 授权依旧无法访问资源。

10. 域信任常见踩坑与误区汇总

❌误区 1：子域 Domain Admins 账号本身拥有父域权限。
✅纠正：子域 DA 账号本身没有父域权限。是攻击者伪造 Kerberos 票据 ExtraSids 注入 EA SID，才拿到森林权限。账号数据库本身权限没有改变。

❌误区 2：建立双向信任，就可以直接跨域控制对方全部资源。
✅纠正：信任只解决身份识别；访问资源还需要 ACL 授权。双向信任≠拥有访问权限。

❌误区 3：建立子域就可以做安全隔离，子域被攻破不会影响根域。
✅纠正：同一个森林所有子域没有安全隔离，SID 过滤关闭，任意子域沦陷威胁整个森林。想要真正隔离，需要部署独立全新森林，建立外部 / 林信任。

❌误区 4：外部信任、林信任也可以直接复制子域到父域黄金票据攻击。
✅纠正：跨森林信任默认开启 SID 过滤，ExtraSids 注入攻击失效，只能寻找 ACL 配置缺陷。

❌误区 5：只要开启 SID 过滤，跨林信任就绝对安全。
✅纠正：SID 过滤防御票据 SID 注入，但是防御不了管理员错误将外部域账号加入本地管理员组、错误 ACL 授权。

❌误区 6：可传递信任代表用户自动拥有所有下游域资源访问权限。
✅纠正：传递性只代表身份认证通路可以传递，资源访问依旧看 ACL 权限。

11. 蓝队运维视角：域信任加固与风险审计

域信任是业务刚需，不能简单删除。加固核心思路：识别高危信任、开启 SID 过滤、收紧 ACL、审计外部域主体权限。

架构层面：安全隔离不要依赖森林内子域
如果业务需要强安全隔离，不要在同一个森林新建子域。应当部署独立 AD 森林，使用林信任或者外部信任打通业务。同森林各个域不存在真正安全边界。
永远不要手动关闭 SIDFilteringQuarantined
迁移业务遇到权限问题，优先使用正确迁移工具，不要为图省事关闭 SID 过滤。关闭 SID 过滤会彻底摧毁信任安全边界。定期审计所有信任对象 SIDFilteringQuarantined 属性。
严格管控外部信任、林信任

最小化原则，非业务需要不创建跨森林信任；
禁止将外部森林 / 外部域账号添加到本地管理员、域高权限组；
定期审计 ACL，查找 ACL 授予外部域账号高危权限（GenericAll、WriteDacl 等）。

定期导出域信任列表做审计
使用 PowerShell 脚本批量导出所有信任，记录信任域名、方向、传递性、SID 过滤状态，纳入基线。
限制 KRBTGT 账号防护
森林内部，任意子域 krbtgt 泄露，整个森林高危。定期轮转所有域 krbtgt 密码。
使用 BloodHound 定期做信任 + ACL 审计
重点告警：SID‑Filter 关闭的跨森林信任；外部域主体被授予高权限；异常快捷信任。
监控与告警
监控域间信任密钥修改、信任对象新增删除行为；监控异常 Kerberos 票据 ExtraSids 字段，检测黄金票据类攻击行为。

最重要安全理念：同一个 AD 森林，一域失守，全森林高危。不要把安全隔离寄托于森林内部子域划分。

12. 学习总结

工作组没有域信任，每台机器独立管理账号；AD 单域内部天然信任；多域之间依靠域信任实现跨域身份认证。
信任两大属性：方向（单向 / 双向）；传递性（可传递 / 不可传递）。信任只解决身份识别，资源访问依旧依靠 ACL 权限。
五种信任：父子、树根、快捷信任属于林内信任，默认关闭 SID 过滤，存在子域到森林根域票据提权风险；外部信任、林信任属于跨森林，默认开启 SID 过滤，阻挡 ExtraSids 攻击。
SID‑History 设计用于域迁移，攻击者滥用 ExtraSids 注入高权限 SID；SID 过滤是防护该攻击的关键机制。同森林关闭 SID 过滤，跨森林默认开启 SID 过滤。
红队工作流：拿到普通域账号，优先枚举全部域信任，绘制信任拓扑；林内子域沦陷可冲击整个森林；跨森林信任主要寻找 ACL 配置错误。
运维不要妄想通过同森林子域实现安全隔离；强隔离必须部署独立森林；永远不要随意关闭 SID 过滤。

域信任是多域 AD 攻防的分水岭，搞懂信任之后，再去学习子域提权、跨森林攻击，就不会只会机械复制攻击命令，能够理解每一条攻击链路背后的设计逻辑与限制条件。