免责声明本文全部技术内容仅用于授权红蓝对抗、授权渗透测试、安全学习研究。严禁在未授权企业 AD 环境执行票据伪造、信任密钥抓取、SID 注入、跨域 DCSync 等攻击操作未经授权操作 Windows 活动目录属于违法行为。所有案例均来自自建靶场与公开护网复盘禁止直接复现于生产环境。目录1. 前言什么是域信任信任的核心基础概念2. AD 信任完整分类父子信任树根信任外部信任森林信任2.1 父子域信任 Parent‑Child2.2 树根信任 Tree‑Root2.3 外部域信任 External Trust2.4 森林信任 Forest Trust3. 信息收集如何枚举域信任关系3.1 PowerView 枚举Windows 靶机3.2 LDAP 查询方式3.3 BloodHound 枚举信任关系4. 链路一父子信任经典攻击子域域管理员拿下林根域4.1 ExtraSids 黄金票据原理4.2 实战完整复现步骤Rubeus 版本WindowsImpacket ticketer Linux 攻击机生成 ccache 票据4.3 域间信任密钥 Inter‑Realm TGT 攻击5. 链路二树根信任Tree‑Root多域树横向利用6. 链路三外部域信任 External Trust 利用思路6.1 攻击路径 1跨域 ACL 权限滥用最高频6.2 攻击路径 2账号凭证复用相同用户名密码6.3 攻击路径 3管理员手动关闭 SID 过滤TREAT_AS_EXTERNAL 0x406.4 攻击路径 4外部域账号加入本地高权限组7. 链路四森林信任 Forest Trust 攻击思路7.1 森林信任默认安全限制7.2 森林信任可行攻击路径汇总7.3 选择性认证 Selective Authentication8. 其他跨域通用攻击手段8.1 跨域 DCSync 条件8.2 跨域委派滥用RBCD、非约束委派跨森林场景8.3 AD‑CS 证书服务跨森林滥用9. 靶场实战完整流程子域沦陷后接管整个森林10. 护网真实复盘多域企业攻陷子域后横向林根完整案例11. BloodHound 查询语句快速定位信任风险12. 蓝队检测域信任攻击对应安全事件 ID狩猎规则13. AD 信任生产环境加固清单14. 高频面试考点整理15. 全文总结如何系统学习网络安全一、网络安全黑客学习路线二、网络安全教程视频三、网络安全CTF实战案例四、网络安全面试题摘要大中型企业 AD 环境很少只有单一域大量存在父子子域、多域树、外部域信任、森林信任架构。很多渗透测试人员拿下子域域管理员之后以为攻击已经结束却不了解域信任机制错失接管整个林根、接管外部信任森林的机会。域信任是 AD 为实现资源访问设计的身份互信机制但信任方向、可传递属性、SID 过滤开关、信任密钥、选择性认证等配置一旦理解错误就会产生高危攻击链路。本文系统拆解四种主流信任父子信任、树根信任、外部域信任、森林信任。区分林内信任与跨森林信任本质差异讲解 SID 过滤、ExtraSids、信任密钥、选择性认证核心概念覆盖子域 DA→林根域、跨森林票据伪造、信任密钥滥用、ACL 跨域权限、凭证复用、委派跨域利用等全套攻击链路每一种攻击给出前置条件、实战命令、攻击链、BloodHound 查询语句、蓝队日志检测手段同时总结真实护网踩坑点、面试高频考点与完整加固清单。阅读完本文能够完整掌握 AD 跨域信任攻击方法论面对多域复杂企业环境快速判断可利用攻击路径。MITRE ATTCK 映射T1482 域信任发现T1558.002 黄金票据T1558.004 SID‑History 注入T1557 凭证转储T1068 权限提升。1. 前言什么是域信任信任的核心基础概念在大型企业活动目录架构不同域之间需要互相访问对方文件、打印机、业务系统资源。AD 引入**域信任 (Domain Trust)**机制A 域信任 B 域则 B 域的安全主体用户、计算机可以在一定限制下访问 A 域内资源。很多新手最大误区“只要两个域建立信任拿到 A 域权限就直接控制 B 域。”这句话不完全成立。攻击是否成功取决于信任类型、信任方向、是否可传递、SID 过滤是否开启、选择性认证配置攻击者拿到的权限等级。核心名词提前理解信任方向分为入站信任、出站信任、双向信任。A 信任 B A 入站信任B 出站信任。B 域用户可以访问 A 域资源不等于 A 域用户访问 B 域。攻击的时候必须分清方向。可传递性 Transitive信任可以沿着信任链传递。A 信任 BB 信任 C如果可传递那么 A 也隐式信任 C。父子、森林信任默认可传递外部信任默认不可传递。SID 过滤 SID Filtering安全防护机制过滤来自外部信任 PAC 票据 ExtraSids 字段里面高权限 SIDDomain Admins、Enterprise Admins。同一森林内部信任默认关闭 SID 过滤外部、森林信任默认开启 SID 过滤这是跨域攻击最重要分水岭。ExtraSids 字段Kerberos PAC 中的 SID 列表也就是 SID‑History原本用于域迁移保存账号旧域 SID。当 SID 过滤关闭票据携带外来高权限 SID 会被目标域认可SID 过滤开启则直接剥离外来高权限 SID攻击失效。信任密钥 Trust Key域之间建立信任会生成一个机器账号DOMAIN$信任账号账号 NTLM 哈希叫信任密钥用于生成跨域 TGT 票据Inter‑Realm TGT。拿到信任密钥可以伪造跨域票据。选择性认证 Selective Authentication森林 / 外部信任可选配置。开启之后来自外部域账号必须被目标计算机对象授予允许认证权限才可以登录该主机防止信任环境下大范围横向。重点区分两大场景✅同一森林内部信任父子、树根SID 过滤默认关闭攻击面巨大⚠️跨森林信任外部信任、森林信任SID 过滤默认开启直接 SID 注入攻击失效需要寻找其他链路2. AD 信任完整分类父子信任树根信任外部信任森林信任2.1 父子域信任 Parent‑Child企业最常见架构根域corp.com子域sub.corp.com。新建子域的时候AD 自动创建父子信任。信任方向双向信任可传递✅支持传递SID 过滤❌默认关闭 SID Filtering代表权限组林根存在Enterprise Admins 企业管理员组RID519权限覆盖森林内全部域。子域 Domain Admins 仅仅管辖本子域默认在林根没有权限。风险关键点因为 SID 过滤关闭子域域管理员可以伪造黄金票据PAC ExtraSids 注入 Enterprise Admins SID直接拿到整个森林最高权限这是护网非常经典攻击链。2.2 树根信任 Tree‑Root同一个 AD 森林创建全新域树例如根域corp.com第二个域树branch.com。两个域同属一个森林不是父子从属是树根信任关系。双向可传递信任SID 过滤❌关闭两个域各自拥有 Domain AdminsEnterprise Admins 仍然存在于林根域。攻击逻辑和父子信任几乎完全一致攻陷其中一个域 DA伪造 ExtraSids 注入 EA SID接管整个森林。2.3 外部域信任 External Trust两个完全独立不同森林之间建立外部信任。例如森林 Aa.com森林 Bb.com。默认单向也可以配置双向可传递❌不可传递信任不会延伸第三个域SID 过滤✅默认开启 SID 过滤适用场景老旧业务两个完全独立森林临时资源互通。外部信任默认防护较强不能直接 ExtraSids 注入高权限 SID但如果管理员手动关闭 SID 过滤风险等同于父子信任。2.4 森林信任 Forest Trust两个完全独立森林建立森林信任企业合并场景使用。支持单向 / 双向✅支持可传递SID 过滤✅默认开启 SID 过滤支持开启选择性认证 Selective Authentication森林信任允许信任传递但是 SID 过滤默认开启阻止直接 SID 历史注入提权。信任类型同森林双向可传递SID 过滤默认状态高危攻击是否可直接 ExtraSids 注入父子信任是✅✅关闭✅可以直接利用树根信任是✅✅关闭✅可以直接利用外部信任 External否可选❌开启❌默认不可关闭过滤才可森林信任 Forest否可选✅开启❌默认不可关闭过滤才可3. 信息收集如何枚举域信任关系拿到域内普通域用户权限第一步枚举所有域信任关系判断是否存在子域、外部森林信任这是跨域攻击的前置。3.1 PowerView 枚举Windows 靶机# 查询当前域所有信任关系 Get‑DomainTrust # 获取林根域名 Get‑ForestRootDomain # 获取森林内全部域列表 Get‑ForestDomain # 获取森林全部域树 Get‑ForestTree输出字段重点观察SourceName源域TargetName目标域TrustDirection信任方向TrustType信任类型TrustAttributes信任属性。TrustAttributes 属性关键标记0x40(TREAT_AS_EXTERNAL)关闭 SID 过滤高危0x20选择性认证 Selective Authentication 开启。3.2 LDAP 查询方式信任对象存储在 LDAP 路径CNSystem,DCxxx,DCcom下面对象类trustedDomain。Impacket 工具 ldapsearchpython3 ldapsearch.py corp.com/user:password192.168.10.10 -b CNSystem,DCcorp,DCcom (objectClasstrustedDomain)3.3 BloodHound 枚举信任关系SharpHound 采集数据会自动抓取全部信任关系。BloodHound CE 查询Find All Domain Trusts全部域信任关系图谱会画出域与域之间连线箭头代表信任方向。红队实战流程拿到域权限之后先枚举森林全部域判断有没有子域 / 其他域树再枚举外部森林信任不要只盯着当前域。4. 链路一父子信任经典攻击子域域管理员拿下林根域⚠️前置条件攻击者拿到子域 Domain Admin 域管理员权限。普通域用户无法直接执行该攻击。4.1 ExtraSids 黄金票据原理子域 DA 权限仅仅控制子域资源默认没有林根域任何权限。当我们拿到子域 krbtgt 账号 NTLM 哈希可以伪造子域黄金票据 TGT。因为父子信任属于同森林SID 过滤关闭。PAC 当中ExtraSids字段可以填入林根 Enterprise Admins 组 SIDS‑1‑5‑21‑xxxx‑519。林根域控制器收到这个跨域过来的票据不会剥离 ExtraSids 里面 EA 的 SID。票据身份变成企业管理员企业管理员拥有整个森林所有域完全控制权直接实现子域 DA → 林根域控接管进而 DCSync 导出整个森林全部账号哈希。注意伪造票据用户可以是任意用户哪怕是不存在虚拟用户核心在于 ExtraSids 注入 Enterprise Admins SID。Enterprise Admins SID 格式 林根域 SID‑519。例如林根 SID S‑1‑5‑21‑123456‑789‑0EA SID 为 S‑1‑5‑21‑123456‑789‑0‑519。攻击链攻陷子域sub.corp.com拿到子域 DA → DCSync 导出子域 krbtgt 哈希 → 伪造黄金票据ExtraSids 填入林根 Enterprise Admins SID → PTT 票据传递导入内存 → 访问林根域控执行 DCSync 导出整个森林全部凭证。4.2 实战完整复现步骤环境林根域corp.com DC01 192.168.10.10子域sub.corp.com DC02 192.168.10.20攻击者拥有 sub 域 Domain Admin 权限。步骤 1子域域控执行 DCSync 拿到子域 krbtgt NTLM 哈希mimikatzlsadump::dcsync /domain:sub.corp.com /user:krbtgt得到 krbtgt 的 NT hash。步骤 2获取林根域 SIDGet‑DomainSID -Domain corp.com # 得到类似 S‑1‑5‑21‑23012345‑123456‑789012 # Enterprise Admins SID 域SID‑519步骤 3Mimikatz 伪造黄金票据增加 /sids 参数注入 EA SIDkerberos::golden /user:fakeadmin /domain:sub.corp.com /sid:S‑1‑5‑21‑xxx‑xxx‑xxx /krbtgt:子域krbtgt哈希 /sids:S‑1‑5‑21‑林根域sid‑519 /ptt/ptt直接把 TGT 票据注入当前进程内存。步骤 4验证票据访问林根域控执行 DCSync 导出林根全部哈希lsadump::dcsync /domain:corp.com /dc:DC01.corp.com至此从子域 DA 完成整个森林接管。Rubeus 版本WindowsRubeus.exe golden /krbtgt:子域krbtgthash /domain:sub.corp.com /sid:子域SID /sids:林根EA‑SID‑519 /user:fakeuser /pttImpacket ticketer Linux 攻击机生成 ccache 票据ticketer.py -nthash 子域krbtgt_hash -domain sub.corp.com -domain‑sid 子域SID -extra‑sid 林根EA_SID fakeuser # 设置环境变量导入票据 export KRB5CCNAMEfakeuser.ccache # DCSync林根域 secretsdump.py corp.com/ -k -no‑pass -dc‑ip 192.168.10.104.3 域间信任密钥 Inter‑Realm TGT 攻击除 krbtgt 伪造黄金票据之外另一条方式抓取域间信任账号的信任密钥。子域与父域信任账号名称格式CORP$。在子域域控 DCSync 导出该信任账号 NTLM 哈希。利用信任密钥生成跨域 Inter‑Realm TGT 票据同样可以注入 ExtraSids 实现提权。实战当中 krbtgt 黄金票据 ExtraSids 方式使用更广泛。重要提醒该攻击限制必须拿到子域 Domain Admin 权限普通域用户做不到。很多新手拿着普通子域账号尝试该攻击完全无法成功。5. 链路二树根信任Tree‑Root多域树横向利用同一个森林内两棵独立域树例如corp.com和branch.corp.com属于树根信任。底层机制和父子信任完全一致同森林SID 过滤关闭攻陷branch.corp.com域管理员拿到 branch 域 krbtgt 哈希伪造黄金票据 ExtraSids 注入林根 Enterprise Admins (SID‑519)获取企业管理员权限控制整个森林所有域树。很多企业搭建多域树做业务隔离误以为域树之间互相隔离安全。只要同属一个 AD 森林攻陷任意一个域的 DA就等于整个森林沦陷这是很多运维的重大认知误区。6. 链路三外部域信任 External Trust 利用思路外部信任是两个完全独立森林之间信任。默认开启 SID 过滤直接 ExtraSids 注入高权限 SID 攻击失效不能像父子域一样直接伪造票据接管对方域。但是这不代表外部信任完全没有攻击面下面是实战中 4 类可行攻击路径。6.1 攻击路径 1跨域 ACL 权限滥用最高频虽然 SID 过滤拦截票据 SID 注入但 AD 对象 ACL 权限不受信任类型限制。场景举例A 森林a.com与 B 森林b.com建立外部信任B 域某个账号 / 组被配置 ACL 权限对 A 域对象拥有 GenericAll、WriteDacl、DCSync 权限。攻击者攻陷 B 域账号就可以利用跨域 ACL 权限直接在 A 域执行提权授予 DCSync、RBCD、影子凭证等。BloodHound 可以识别跨森林主体的 ACL 权限。红队测试要点有外部信任的时候一定要检查外部域哪些安全主体被赋予本域对象高危 ACL 权限。6.2 攻击路径 2账号凭证复用相同用户名密码两个不同森林管理员偷懒创建同名账号并且设置相同密码。例如a.com管理员账号 adminb.com管理员账号 admin密码完全一致。攻击者拿到 A 森林该账号 NTLM 哈希直接 PTH 到 B 森林服务器。该漏洞不属于 AD 协议漏洞属于运维配置错误真实红蓝对抗出现概率很高。6.3 攻击路径 3管理员手动关闭 SID 过滤TREAT_AS_EXTERNAL 0x40高危配置很多老业务迁移场景管理员为兼容旧软件设置信任属性TREAT_AS_EXTERNAL (0x40)。该属性会关闭 SID 过滤。一旦外部信任关闭 SID 过滤行为等同于父子信任。攻击者攻陷己方域 DA伪造票据 ExtraSids 注入对方域 Domain Admins SID直接接管外部信任域。检测方式查看Get‑DomainTrust输出 TrustAttributes 包含0x40。只要看到外部 / 森林信任存在 0x40 标记直接视为严重风险。6.4 攻击路径 4外部域账号加入本地高权限组外部信任允许把外部域用户加入本机本地组。例B 域用户被添加到 A 域某服务器本地 Administrators 组。攻击者攻陷 B 域该账号直接登录这台服务器本地管理员权限以此作为跳板继续横向 A 森林。BloodHound 查询Find all Foreign Group Memberships查找外部域主体加入本地组情况。7. 链路四森林信任 Forest Trust 攻击思路森林信任用于两个独立完整森林之间支持传递信任默认开启 SID 过滤。森林信任不会允许直接 ExtraSids 注入高权限 SID默认防护强但仍然存在多条攻击路径。7.1 森林信任默认安全限制SID 过滤开启剥离外来票据的 Domain Admins、Enterprise Admins 等高权限 SID信任可传递A 森林信任 BB 信任 C则 A 间接信任 C 森林支持开启选择性认证 Selective Authentication。7.2 森林信任可行攻击路径汇总信任属性 0x40 TREAT_AS_EXTERNAL 关闭 SID 过滤一旦开启直接 SID 注入提权和父子域攻击一模一样。跨森林 ACL 高危权限外部森林主体被授予本地 AD 对象 GenericAll、WriteDacl、DCSync 权限。外部账号加入本地计算机本地管理员组拿到跳板主机权限横向。账号密码复用同名同密码 PTH。Kerberos 委派跨森林滥用如果服务账号配置允许跨森林的约束委派拿到委派账号凭据S4U 协议模拟访问目标资源。AD‑CS 证书服务跨森林模板权限错误对方森林 CA 模板允许我方森林用户 Enroll 注册证书。7.3 选择性认证 Selective Authentication森林 / 外部信任可以开启选择性认证TrustAttributes0x20。开启之后来自外部森林账号默认不允许登录域内任何主机管理员必须手动在每一台计算机对象授予Allowed‑To‑Authenticate权限外部账号才可以登录这台机器。作用缩小外部信任横向攻击面。注意选择性认证不等于 SID 过滤二者是两套独立安全机制。开启选择性认证但是关闭 SID 过滤攻击者依旧可以 SID 注入提权。坑点很多管理员以为开启选择性认证就万事大吉。选择性认证只是限制主机登录不会阻止 LDAP 层面 ACL 操作如果外部账号拥有域对象 WriteDacl依然可以 DCSync。8. 其他跨域通用攻击手段8.1 跨域 DCSync 条件DCSync 本质 LDAP 扩展操作不是本机登录。什么时候可以跨域 DCSync当前账号对对方域根对象拥有 DS‑Replication‑Get‑Changes 权限SID 过滤只是剥离票据 SID不会阻止 LDAP 的 DCSync 协议调用。也就是说如果外部域账号被授予目标域 DCSync 权限哪怕 SID 过滤开启攻击者依旧可以远程 DCSync 导出对方域全部哈希。8.2 跨域委派滥用RBCD、非约束委派跨森林场景委派可以跨森林生效前提信任配置允许。RBCD需要对对方森林计算机对象拥有 GenericWrite 权限就可以配置 msDS‑AllowedToActOnBehalfOfOtherIdentity完成 RBCD 攻击模拟账号访问该机器。非约束委派如果对方主机开启非约束委派外部账号访问该机器TGT 会被保存在内存。如果可以强制认证抓取票据。8.3 AD‑CS 证书服务跨森林滥用如果目标森林 AD‑CS 证书模板给外部森林用户分配 Enroll 注册权限。我方账号可以向 CA 申请证书。如果没有 SID 过滤限制有可能实现跨森林证书提权森林信任默认 SID 过滤会限制部分利用场景。9. 靶场实战完整流程子域沦陷后接管整个森林靶场环境森林名称hackforest.com林根域hackforest.com DC‑ROOT192.168.20.10子域sub.hackforest.com DC‑SUB192.168.20.20双向父子信任SID 过滤关闭。攻击者流程授权靶场演练通过 Web 漏洞拿到子域普通域用户通过前文域提权链路拿到 sub 子域 Domain Admin 权限SharpHound 采集 sub 子域数据枚举域信任识别父子信任关系确认林根域名hackforest.com在子域域控执行 DCSync导出子域 krbtgt 账号 NTLM 哈希查询林根域 SID拼接 Enterprise Admins SID‑519使用 Rubeus 生成黄金票据/sids 参数注入 EA SIDPTT 导入内存执行 DCSync 针对林根域控制器导出林根域全部账号 NTLM 哈希获取 Enterprise Admins 权限完成整个 AD 森林接管后续可以继续枚举森林是否存在其他域树、外部森林信任扩大攻击边界。靶场踩坑① 错误使用子域 Domain Admins SID 注入不是林根 Enterprise Admins攻击不会生效② 混淆子域 SID 与林根域 SIDSID 填写错误票据无效③ 普通域账号没有子域 DA 权限直接尝试伪造票据完全失败。10. 护网真实复盘多域企业攻陷子域后横向林根完整案例某大型企业护网红蓝对抗真实场景。企业 AD 架构林根 root‑corp.com业务子域 biz.root‑corp.com。运维团队认为子域和根域隔离业务系统全部部署在子域林根很少维护。红队对外网业务站点渗透拿到子域业务服务器 Webshell逐步提升最终拿到子域 Domain Admin 权限红队一开始只收集子域数据没有做森林信任枚举测试停滞 2 天重新执行 Get‑ForestDomain 枚举发现属于父子信任同森林DCSync 抓取子域 krbtgt 哈希伪造 ExtraSids 黄金票据注入林根 Enterprise Admins SIDPTT 票据传递直接 DCSync 林根域控拿到林根所有账号哈希包含企业管理员账号实现整个森林全部域沦陷。事后根因分析运维认知误区认为子域 DA 只能管子域同森林没有意识到父子信任 SID 过滤关闭带来的致命风险Tier0 分层运维缺失业务子域域控制器没有按照 Tier‑0 最高等级防护没有定期审计域信任关系没有监控异常黄金票据行为krbtgt 密钥从未做轮换。整改建议子域 DC 按照 Tier‑0 最高级别防护定期轮换所有域 krbtgt 密码两次开启域控制器完整 Kerberos 审计运维人员必须理解同森林信任安全风险。重要结论只要攻击者拿下森林中任意一个域的 Domain Admin等同于整个 AD 森林沦陷不要相信 “子域做隔离” 的防护思路。11. BloodHound 查询语句快速定位信任风险拿到信任关系数据之后直接执行下面预定义查询快速寻找攻击面。Find All Domain Trusts全部域信任查看信任类型、方向、属性Find External Domain Trusts筛选外部、森林信任重点看 TrustAttributes 0x40 标记Find Foreign Security Principals查找外部森林的主体出现在本地组、ACLShortest Paths to Enterprise Admins寻找通往企业管理员组最短攻击路径Find Domains where SID filtering is disabled查找 SID 过滤关闭信任关系。实战分析顺序看是否存在父子 / 树根信任同森林只要拿到某域 DA就存在 ExtraSids 提权风险看外部 / 森林信任是否存在0x40 TREAT_AS_EXTERNAL属性检查外部域账号是否有本地高危 ACL、是否加入本地管理员组。12. 蓝队检测域信任攻击对应安全事件 ID狩猎规则域控必须开启Kerberos 审计、目录服务审计 SACL否则大量票据事件不会被记录。攻击行为关键事件 ID日志说明黄金票据伪造 TGT子域 krbtgt4768异常 TGT 请求账号不存在生命周期异常长跨域 TGT 引用Inter‑Realm TGT4769服务名称为KRBTGT/其他域名代表跨域票据DCSync 跨域复制4662DS‑Replication‑Get‑Changes‑All 访问事件信任对象属性修改修改 TrustAttributes 关闭 SID 过滤4662trustedDomain 对象属性修改0x40 标记写入SIEM 狩猎查询示例#狩猎跨域Inter‑Realm TGT票据 EventID4769 AND ServiceName STARTS‑WITH KRBTGT/ #狩猎异常TGT票据生命周期大于10小时可疑黄金票据 EventID4768 AND TicketOptions0x40000000 #狩猎修改信任属性关闭SID过滤 EventID4662 AND ObjectClasstrustedDomain应急处置关键点发生跨域信任沦陷该森林每一个域的 krbtgt 账号密码必须修改两次作废全部黄金票据检查所有 trustedDomain 信任对象恢复 SID 过滤清除危险 0x40 属性审计全部 ACL清理外部域主体的高危 DACL 权限撤销恶意证书重置森林内全部域账号密码检查信任关系删除不必要外部、森林信任核查选择性认证配置。注意仅仅重置被攻陷的子域 krbtgt 是不够的林根域 krbtgt 也必须轮换。13. AD 信任生产环境加固清单最小化域信任数量非业务必需不要创建外部信任、森林信任及时清理老旧废弃信任关系。大中型企业尽量减少子域数量优先使用 OU 组织单元代替子域做业务隔离。重要认知同森林内子域无法安全隔离权限攻陷任意域 DA整个森林失守不要依赖子域做安全隔离。严格管控信任属性外部信任、森林信任绝对禁止设置TREAT_AS_EXTERNAL(0x40)关闭 SID 过滤定期审计trustedDomain对象 TrustAttributes 属性。启用选择性认证业务确实需要森林 / 外部信任开启选择性认证 Selective Authentication最小分配Allowed‑To‑Authenticate权限。选择性认证不能替代 SID 过滤二者同时启用。krbtgt 密钥定期轮换森林内所有域林根、全部子域krbtgt 账号定期修改两次密码作废潜在黄金票据。严格控制跨森林 ACL 与外部组成员禁止随意把外部森林账号加入本地管理员组禁止外部域主体拥有域根对象 WriteDacl、DCSync 高危权限。定期 BloodHound 审计外部安全主体权限。Tier‑0 运维模型所有域控制器包括全部子域域控全部作为 Tier‑0 最高风险资产域管理员账号禁止登录业务服务器、工作站使用 LAPS 保护本地管理员密码。域控制器开启完整审计开启 Kerberos 认证审计目录服务对象访问审计日志集中上送至 SIEM。部署 Defender for Identity检测可疑黄金票据、可疑跨域 DCSync 行为。权限管控 Enterprise Admins 组企业管理员组人数严格最小化日常业务禁止使用 EA 账号登录。14. 高频面试考点整理父子域信任如果拿到子域 Domain Admin 权限是否可以控制林根域原理是什么可以。父子属于同森林信任SID 过滤默认关闭伪造子域 krbtgt 黄金票据ExtraSids 注入林根 Enterprise AdminsRID519SID林根 DC 认可票据内 SID获取森林最高权限。父子信任和外部信任最大安全区别父子信任同森林SID 过滤关闭外部信任属于两个独立森林SID 过滤默认开启默认阻止 SID‑History 注入提权。什么是 TREAT_AS_EXTERNAL (0x40) 信任属性有什么危害该属性会关闭 SID 过滤外部 / 森林信任配置该属性之后行为等同于父子信任攻击者可以 SID 注入高权限 SID接管对方域。选择性认证 Selective Authentication 作用能否替代 SID 过滤选择性认证限制外部域账号登录主机必须授予 Allowed‑To‑Authenticate 权限不能替代 SID 过滤LDAP 层面 ACL、DCSync 攻击不受选择性认证限制。跨森林信任 SID 过滤开启还有哪些攻击路径跨域 ACL 高危权限外部账号加入本地管理员组账号密码复用 PTH委派配置错误信任属性被修改关闭 SID 过滤。树根信任 Tree‑Root 是什么安全风险同一森林内多棵域树之间信任双向可传递SID 过滤关闭攻陷任意域 DA 即可接管整个森林。Inter‑Realm TGT 是什么域与域之间通信使用的跨域 TGT 票据由域间信任密钥加密。AD 森林沦陷应急处置krbtgt 为什么每个域都要改两次密码krbtgt 密钥用于加密 TGT 票据修改两次密码旧的密钥生成全部黄金票据彻底失效森林所有域 krbtgt 都要轮换不只是被攻陷子域。子域普通域用户能不能直接利用父子信任攻击林根不能。该攻击前置条件需要子域 Domain Admin 权限拿到子域 krbtgt 哈希。DCSync 是否受 SID 过滤影响不受。SID 过滤作用于 Kerberos 票据 PAC SIDDCSync 是 LDAP 扩展操作只要账号拥有复制权限就可以执行跨域 DCSync。15. 全文总结本文完整梳理 AD 四种信任模型父子信任、树根信任、外部信任、森林信任。同一森林内部信任父子、树根风险最高SID 过滤默认关闭。只要攻击者拿到森林内任意一个域 Domain Admin即可伪造 ExtraSids 黄金票据拿到 Enterprise Admins 权限接管整个森林。很多企业试图通过子域做安全隔离这种隔离在 AD 协议层面是无效的。外部信任、森林信任默认开启 SID 过滤防护更强但不是绝对安全风险点集中在管理员错误关闭 SID 过滤 (0x40)、跨域 ACL 高危权限、外部账号加入本地高权限组、账号密码复用、委派配置错误。红队渗透流程拿到域权限之后第一步枚举森林全部域、枚举全部域信任区分信任类型、信任方向、TrustAttributes 属性再结合 BloodHound 寻找攻击链路不要局限当前所在域。蓝队防御不能只依靠打补丁域信任风险大多来自 AD 协议本身特性与运维配置错误。最小信任原则定期审计信任属性轮换全部域 krbtgt 密钥开启完整审计建立 Tier‑0 运维模型。应急响应发生跨域信任沦陷仅仅修改被入侵账号密码远远不够森林内所有域 krbtgt 账号修改两次清理危险信任属性审计全部跨域 ACL 权限。技术声明域信任攻击全部技术仅限授权靶场、授权红蓝对抗演练严禁在未授权生产 AD 环境执行。如何系统学习网络安全网络安全作为数字时代的核心技术基石已成为保障各行业安全稳定运行的坚实屏障。筑牢网络安全的防线掌握先进的防护策略和技能正上升为国家与企业发展的战略优先级。构建稳固的网络安全能力是一个体系的工程需要从夯实基础理论出发持续深化到攻防对抗与应急响应的实战层面。如果你是准备学习网络安全黑客或者正在学习我可以把我自用的360独家内部资料分享给你包含以下内容你应该能用得上①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】
