免责声明本文内容仅供授权红蓝对抗、渗透测试学习研究禁止在未授权企业内网、生产域环境执行探测、攻击操作未授权访问属于违法行为所有实操均在本地 AD 靶场完成。目录1. 域信息收集前置基础环境探测定位域控1.1 CMD 原生查询环境信息1.2 Powershell 查询基础域信息1.3 识别域控的多种特征2. 域内主机对象枚举寻找域控、业务服务器、工作站2.1 CMD 原生命令2.2 PowerView 枚举域计算机对象2.3 Linux Impacket/windapsearch 获取计算机列表2.4 主机信息收集后处理思路3. 域用户完整枚举账号属性挖掘筛选危险账号3.1 CMD 原生查询域用户3.2 PowerView 完整枚举域用户3.3 Linux Impacket 获取用户3.4 用户信息收集攻击线索梳理4. 域安全组枚举查找高权限组成员理清权限链路4.1 CMD 原生命令4.2 PowerView 安全组枚举4.3 Linux windapsearch 枚举组成员4.4 组信息收集实战思路5. OU 组织单元 GPO 组策略信息收集5.1 PowerView 查询 OU 和 GPO5.2 访问 SYSVOL 手动检索 GPP 密码5.3 识别 GPO 风险点6. SPN 服务主体名称深度挖掘Kerberoasting 前置6.1 Windows 原生 setspn 工具6.2 PowerView 枚举 SPN6.3 Rubeus 工具请求 TGS 票据6.4 Linux Impacket GetUserSPNs6.5 SPN 信息收集后筛选技巧7. 会话、本地组、共享文件夹枚举横向移动线索7.1 枚举远程机器本地组7.2 登录会话枚举7.3 内网共享文件夹枚举8. 域信任、ACL 权限收集8.1 域信任枚举8.2 ACL 访问控制列表收集9. 工具对比原生 cmd、PowerView、Impacket、BloodHound 采集器10. 标准化实战信息收集工作流11. 信息收集高频踩坑与避坑技巧坑 1过度依赖 net view 获取主机列表坑 2LDAP 查询出来计算机对象直接当作存活主机坑 3查询组成员不加‑Recurse 递归参数漏掉嵌套组成员坑 4SPN 全部拿来 Kerberoasting不区分账号 / 计算机对象坑 5普通域用户权限尝试批量读取远程机器登录会话坑 6忽略 description 用户描述字段和 GPP SYSVOL坑 7只看 Domain Admins忽略 Account Operators 等高权限内置组坑 8信息收集一遍之后不再重复执行坑 9扫描速度过快产生大量日志触发告警12. 蓝队视角如何检测与防护 AD 信息枚举13. 学习总结最后网络安全需要学习那些知识网络安全零基础入门学习路线规划网络安全工程师企业级学习路线摘要内网域渗透70% 的时间都消耗在信息收集。很多同学拿到普通域用户 Shell 之后直接到处跑漏洞利用盲目尝试各种攻击命令最后一无所获。域环境不是打靶场不会把漏洞直接摆在面前完整、高质量的信息收集才是后续横向移动、域提权的基础。当我们拿到域内一台机器的权限哪怕只是普通域用户权限就可以通过 LDAP 协议读取 AD 大量对象数据域主机清单、全部域用户账号、安全组成员关系、OU 组织单元、GPO 组策略、SPN 服务主体名称、域信任关系、会话登录信息、共享文件夹、ACL 权限等等。普通域用户默认就拥有 LDAP 读取权限不需要管理员权限。本文站在红队实战视角完整梳理域内信息收集整套方法论。从基础环境探测到主机、用户、组、OU、GPO、SPN、会话、共享、信任关系逐个拆解覆盖 Windows 原生命令、PowerView、Rubeus、Impacket、SharpHound/BloodHound‑Python同时给出实战工作流、踩坑避坑、噪声过滤、蓝队审计思路。读完之后可以建立标准化域内信息收集流程拿到域内权限后不再盲目操作。适合内网渗透初学者、红蓝对抗人员、安全运维阅读。前言很多新手学习域渗透背一堆攻击命令DCSync、黄金票据、Kerberoasting但是忽略最重要的前置环节 —— 信息收集。真实护网场景外网拿到 Webshell权限为普通域用户此时你没有任何内网资产清单不知道哪些是域控、哪些是业务服务器、哪些账号是高权限、哪些账号注册 SPN不知道机器之间会话关系。直接复制攻击命令绝大多数情况都会失败。AD 活动目录本质是一个大型 LDAP 数据库所有用户、计算机、组、服务全部是数据库对象。普通域用户默认就可以查询绝大部分对象属性这是 Windows 设计不是漏洞。攻击者就是利用这个特性完成测绘。信息收集的目标是回答下面这些问题当前是什么域域控制器 IP、主机名是多少森林是什么域内一共有多少台主机哪些是域控、文件服务器、数据库服务器域内全部用户列表哪些账号禁用、哪些账号设置了密码永不过期哪些是服务账号各个安全组成员是谁谁在 Domain Admins、Account Operators 等高权限组OU 组织单元结构GPO 组策略是否存在 GPP 遗留密码哪些账号注册了 SPN可以做 Kerberoasting内网机器上当前登录了哪些域账号寻找高权限账号会话。域信任关系是否存在父子域、外部信任有哪些开放共享文件夹是否存在敏感文件AD 对象 ACL是否存在高危可滥用权限GenericAll、WriteDacl信息收集不是简单执行一堆命令复制输出而是要对输出结果做筛选、过滤噪声从中挖掘潜在攻击点。同时要区分哪些普通域用户可以执行哪些需要管理员权限。很多命令拿到普通域账号就可以执行不需要拿到域控。1. 域信息收集前置基础环境探测定位域控拿到一台域内机器 shell第一件事确认当前环境基础信息找到域控制器。所有 LDAP 查询、Kerberos 攻击都依赖域控地址。普通域用户即可执行。1.1 CMD 原生查询环境信息::查看本机域名 systeminfo | findstr 域 ::查看当前登录账号域信息 whoami /all ::查询域控制器 nltest /dclist: ::DNS解析域控 nslookup %USERDNSDOMAIN% ::查看当前域完整信息 net view /domain ::查看域密码策略 net accounts /domainnet accounts /domain 非常重要可以拿到域密码长度、密码过期时间、锁定阈值。后续暴力爆破账号时防止触发账号锁定。1.2 Powershell 查询基础域信息# 获取当前域对象 Get‑ADDomain # 获取所有域控制器 Get‑ADDomainController # 获取森林信息 Get‑ADForestGet‑AD * 系列命令依赖 RSAT‑AD 模块如果目标机器没有安装 RSAT无法直接执行此时优先使用 PowerView。PowerView 基础查询Get‑Domain Get‑DomainController Get‑Forest Get‑ForestDomain1.3 识别域控的多种特征域控机器特点主机名存在于 DCList 列表DNS 记录中域域名 A 记录指向域控 IP开放端口53 (DNS)、88 (Kerberos)、389 (LDAP)、636 (LDAPS)、445 (SMB)计算机对象属性中primaryGroupId516516 代表 Domain Controllers 组这个是 LDAP 筛选域控的关键属性。实战小坑环境存在多域、子域Get‑ForestDomain可以枚举森林全部域不要只收集当前域。2. 域内主机对象枚举寻找域控、业务服务器、工作站AD 中每一台加入域的机器都是一个computer对象存储在 LDAP 数据库。普通域用户可以读取全部计算机对象。收集主机清单区分服务器、办公 PC标记潜在高价值目标数据库、文件服务器、应用服务器。2.1 CMD 原生命令net view /domain⚠️注意net view 依赖浏览器服务很多服务器该服务关闭输出为空不要依赖 net view 作为唯一主机来源优先 LDAP 查询。2.2 PowerView 枚举域计算机对象# 获取域全部计算机对象 Get‑DomainComputer # 筛选关键属性输出主机名、操作系统、DNS主机名、是否域控 Get‑DomainComputer | select‑object dnshostname,operatingsystem,primarygroupid # 筛选Windows Server服务器系统 Get‑DomainComputer | Where‑Object {$_.operatingsystem ‑match Server} # 筛选域控制器 primaryGroupId516 Get‑DomainComputer | Where‑Object {$_.primarygroupid ‑eq 516}输出字段说明dnshostname机器完整 DNS 名称用于后续 SMB、WinRM 连接operatingsystem操作系统版本识别服务器 / 个人工作站primarygroupid516 代表域控制器。重点LDAP 拿到的计算机清单不代表机器当前存活。AD 数据库只会记录计算机是否加入域不管机器现在是否开机。拿到主机清单之后需要 ARP、ICMP、端口探测做存活校验。2.3 Linux Impacket/windapsearch 获取计算机列表在内网攻击机拿到域账号密码不需要登录 Windows 主机远程 LDAP 查询windapsearch -d corp.local -u user01 -p xxx --computers2.4 主机信息收集后处理思路拿到全部域计算机清单之后做分类标记域控制器最高价值目标Windows Server 业务服务器MSSQL、文件共享、Web 应用服务器普通员工工作站 PC可能存在域管理员登录留下内存凭证标记离线机器过滤掉长期不在线的对象减少后续扫描噪声。实战坑AD 里面会存在大量已经报废但是没有删除的计算机对象LDAP 查询依然返回一定要做存活探测过滤否则会产生大量无效扫描。3. 域用户完整枚举账号属性挖掘筛选危险账号域用户枚举是信息收集核心环节。普通域用户权限即可读取绝大多数用户属性。不仅仅收集用户名更要关注账号属性账号是否禁用、密码最后修改时间、密码是否永不过期、用户描述字段、是否开启不需要预认证AS‑REP Roasting、是否注册 SPN。很多账号泄露线索藏在用户描述字段里面。3.1 CMD 原生查询域用户net user /domainnet user 输出信息有限只能拿到用户名拿不到丰富属性仅作为简单预览。3.2 PowerView 完整枚举域用户# 获取全部域用户 Get‑DomainUser # 筛选常用属性输出用户名、描述、账号是否禁用、密码最后设置、密码永不过期 Get‑DomainUser | select samaccountname,description,useraccountcontrol,pwdlastset,passwordneverexpires # 查询账号未禁用的全部用户 Get‑DomainUser -UACFilter NOT_ACCOUNTDISABLE # 查找密码永不过期账号 Get‑DomainUser | Where‑Object {$_.passwordneverexpires‑eq $true} # AS‑REP Roasting高危账号不需要Kerberos预认证 DONT_REQ_PREAUTH Get‑DomainUser -UACFilter DONT_REQ_PREAUTHuseraccountcontrol 是一个标志位非常关键常见标志NOT_ACCOUNTDISABLE账号启用DONT_REQ_PREAUTH不需要 Kerberos 预认证可 AS‑REP RoastingPASSWORD_NEVER_EXPIRES密码永不过期SMARTCARD_REQUIRED必须智能卡登录。重点看 description 描述字段大量企业运维会在这里写密码、用途真实红队经常在这里直接拿到明文密码。3.3 Linux Impacket 获取用户windapsearch -d corp.local -u user01 -p pass --users # AS‑REP Roasting账号检测 impacket‑GetNPUsers.py corp.local/user01:pass -dc‑ip 192.168.1.10 -request3.4 用户信息收集攻击线索梳理收集完用户列表重点标记下面几类账号各类服务账号svc_xxx后续 SPN 重点目标密码永不过期账号风险极高密码长期不变容易被爆破DONT_REQ_PREAUTH 开启直接 AS‑REP Roasting 导出 hash 离线爆破description 字段包含密码、备注信息高权限业务运维账号长期未修改密码账号pwdlastset 时间很早大概率弱口令。误区不要只盯着 Domain Admins 成员大量企业高权限服务账号不在域管理员组但是权限巨大。4. 域安全组枚举查找高权限组成员理清权限链路AD 依靠安全组做权限管控。很多攻击路径根源就是组成员配置。普通域用户可以查询所有组和组成员。分为内置高危组、业务自定义组。我们需要找到每个组下面包含哪些用户、计算机、嵌套组。支持组嵌套A 组包含 B 组B 组成员自动继承 A 组权限枚举的时候需要递归展开嵌套成员不能只看一层。4.1 CMD 原生命令# 列出域全部组 net group /domain # 查询某个组的成员例如Domain Admins net group Domain Admins /domainnet group 缺点不支持递归展开嵌套组如果组里面包含另外一个组不会把嵌套组内成员全部展开实战中会漏掉大量账号。4.2 PowerView 安全组枚举# 获取域全部安全组 Get‑DomainGroup # 查询指定组成员递归展开嵌套成员 -Recurse Get‑DomainGroupMember -Identity Domain Admins -Recurse Get‑DomainGroupMember -Identity Enterprise Admins -Recurse Get‑DomainGroupMember -Identity Account Operators -Recurse Get‑DomainGroupMember -Identity Print Operators -Recurse重点高危内置组清单信息收集必须逐个查看成员Domain Admins本域域管理员Enterprise Admins森林企业管理员仅森林根域Schema Admins架构管理员Account Operators账号操作员可以管理域用户高危提权点Group Policy Creator OwnersGPO 创建所有者可以新建、编辑组策略Print Operators打印操作员可以本地登录域控Domain Controllers域控制器计算机对象组很多企业运维会把业务账号放入 Account Operators、Print Operators很多人忽略这两个组这是非常高频真实提权点。4.3 Linux windapsearch 枚举组成员windapsearch -d corp.local -u user01 -p pass --groups --recursive4.4 组信息收集实战思路递归查询所有高危内置组成员记录高权限账号清单注意区分成员类型用户对象、计算机对象、嵌套组对象很多自定义业务组不要只看内置组业务自定义组也可能分配大量权限BloodHound 会自动解析全部嵌套组成员关系绘制 MemberOf 链路。踩坑如果不使用‑Recurse 递归参数嵌套组内账号不会展示造成信息收集不全遗漏高权限账号。5. OU 组织单元 GPO 组策略信息收集OU 相当于 AD 的文件夹用来归类用户、计算机GPO 组策略绑定在 OU 上下发配置、脚本。信息收集可以从 GPO 寻找大量攻击线索GPP 遗留明文密码、登录脚本、部署脚本。普通域用户可以读取大部分 GPO 信息。5.1 PowerView 查询 OU 和 GPO# 获取全部OU Get‑DomainOU # 获取全部GPO Get‑DomainGPO # 查找GPO对应的SYSVOL路径 Get‑DomainGPO | select displayname,gpcfilesyspathgpcfilesyspath就是 GPO 存储路径指向域控 SYSVOL 共享\\domain.local\SYSVOL\domain.local\Policies\。SYSVOL 域共享普通域用户默认可以访问。经典风险GPP 组策略首选项曾经支持保存明文密码存在 cpassword 字段AES 密钥公开可以解密明文密码。5.2 访问 SYSVOL 手动检索 GPP 密码# 遍历SYSVOL下Groups.xml寻找cpassword dir \\corp.local\SYSVOL\corp.local\Policies\ -Recurse -Filter *.xml重点文件Groups.xml、ScheduledTasks.xml、Services.xml。5.3 识别 GPO 风险点Groups.xml 内 cpassword 字段解密获取明文账号密码GPO 下发登录脚本脚本内部硬编码账号密码哪个账号拥有 GPO 编辑权限拥有编辑权限的账号可以下发恶意脚本控制 OU 下全部机器。很多人忽略 GPO 信息收集真实内网环境经常在这里直接拿到明文账号密码不需要复杂漏洞利用。6. SPN 服务主体名称深度挖掘Kerberoasting 前置SPNService Principal Name服务主体名称Kerberos 协议用于标识服务实例。MSSQL、IIS HTTP 服务、文件服务都会注册 SPN。如果 SPN 注册在域用户账号而不是计算机账号下就会存在 Kerberoasting 攻击风险我们可以向 KDC 请求 TGS 票据TGS 使用服务账号 NTLM‑Hash 加密拿到票据之后本地离线哈希爆破得到服务账号密码。SPN 扫描最大优势基于 LDAP 查询不需要网络端口扫描不会对内网各个 IP 建立 TCP 连接噪声更低不容易触发 IDS 告警。普通域用户权限就可以枚举全部 SPN。6.1 Windows 原生 setspn 工具Windows 自带工具无需上传第三方程序隐蔽性强# 查询域内全部SPN setspn -T corp.local -Q */* # 筛选MSSQL服务SPN寻找数据库服务账号 setspn -T corp.local -Q MSSQLSvc/* # 查询HTTP web服务SPN setspn -T corp.local -Q HTTP/*6.2 PowerView 枚举 SPN# 获取所有注册SPN的域用户重点Kerberoasting目标 Get‑DomainUser -SPN # 输出用户名、对应的SPN值 Get‑DomainUser -SPN | select samaccountname,serviceprincipalname区分SPN 挂载在计算机账号上无法 Kerberoasting只有 SPN 挂载在域用户账号对象才可以 Kerberoasting 攻击。6.3 Rubeus 工具请求 TGS 票据# 枚举并请求所有可Kerberoast账号TGS票据 Rubeus.exe kerberoast /out:tgs_hash.txt6.4 Linux Impacket GetUserSPNs攻击机 Linux 不需要进入 Windows远程 LDAP 查询并导出 TGS hashimpacket‑GetUserSPNs.py corp.local/user01:Password123 -dc‑ip 192.168.1.10 -request‑output kerb_hash.txt输出的 hash 可以直接丢给 hashcat 离线爆破。6.5 SPN 信息收集后筛选技巧标记 MSSQLSvc、HTTP、TERMSRV 服务对应的服务账号区分 SPN 归属用户账号 / 计算机账号计算机账号 SPN 放弃 Kerberoasting观察服务账号是否属于高权限组一旦爆破成功收益巨大记录服务对应的主机后续可以定向访问对应业务服务。高频踩坑很多新手看到 SPN 就直接爆破没有区分归属对象对计算机账号 SPN 执行 Kerberoasting浪费大量时间完全没有效果。7. 会话、本地组、共享文件夹枚举横向移动线索前面收集的全部是 AD 数据库静态对象。接下来收集动态信息机器登录会话、目标机器本地管理员组成员、内网共享文件夹。这些是横向移动的直接线索。注意读取远程机器会话、本地组一般需要目标机器管理员权限普通域用户默认无法读取远程机器会话信息。7.1 枚举远程机器本地组# 查询远程机器本地Administrators组成员需要目标权限 Get‑NetLocalGroupMember -ComputerName SRV‑WEB01 -GroupName Administrators作用看哪些账号被添加到目标机器本地管理员判断哪些账号可以登录这台服务器。7.2 登录会话枚举查看哪一个域账号当前登录在目标机器上。如果域管理员正在登录某台业务服务器拿下这台服务器 dump lsass 即可拿到域管理员凭证。Get‑NetLoggedon -ComputerName SRV‑WEB01 Get‑NetSession -ComputerName SRV‑WEB017.3 内网共享文件夹枚举寻找开放 SMB 共享查找配置文件、备份文件、密码文档。# 枚举域内机器共享 Get‑NetShare # 指定机器枚举共享 Get‑NetShare -ComputerName SRV‑FILE01重点关注共享名称backup、files、config、web。SYSVOL、NETLOGON 是域控默认共享普通域用户可读。会话与本地组收集注意普通域用户没有权限读取远程机器会话拿到一台机器本地管理员之后才可以批量探测其他机器会话。BloodHound SharpHound 采集器会在有权限机器上自动收集会话信息。8. 域信任、ACL 权限收集8.1 域信任枚举普通域用户即可执行绘制域信任拓扑判断是否存在子域、外部信任判断是否存在子域→森林提权风险。nltest /domain_trustsPowerViewGet‑DomainTrust Get‑ForestTrust重点观察信任类型、传递性、SIDFilteringQuarantined 状态。8.2 ACL 访问控制列表收集AD 每个对象都存在 ACL记录哪些账号拥有该对象什么权限。大量真实环境提权来自 ACL 配置错误普通账号被授予 GenericAll、WriteDacl、WriteMember 权限。手动查询 ACL 工作量巨大一般交给 SharpHound/BloodHound 自动采集解析。PowerView 单对象 ACL 查询Get‑ObjectAcl -Identity Domain Admins人工不建议批量手动遍历所有对象 ACL效率极低优先使用 BloodHound。9. 工具对比原生 cmd、PowerView、Impacket、BloodHound 采集器红队做域信息收集有几大工具体系各有优缺点实战按需组合使用。工具运行环境权限要求特点Windows CMD 原生工具 (nltest/net/setspn)Windows 域内主机普通域用户无文件原生告警低输出信息简单缺少丰富属性不递归嵌套组PowerView(Powershell)Windows 域内主机普通域用户功能最全LDAP 查询全部对象powershell 执行可能触发 AV 告警可以内存加载不落地磁盘Impacket 套件 (GetUserSPNs、windapsearch)Linux 攻击机普通域账号密码远程 LDAP 查询不需要获得 Windows 主机 shell适合从外网突破之后内网横向不往目标上传文件SharpHound (C# 采集器)Windows 目标主机普通域用户全量采集用户、主机、组、会话、ACL、信任二进制容易被杀软查杀bloodhound‑pythonLinux 攻击机普通域账号密码远程采集不需要上传程序到 Windows 主机规避杀毒实战护网非常常用实战建议如果已经拿到 Windows 机器 shell优先内存加载 PowerView 做基础信息收集如果可以拿到账号密码优先使用 bloodhound‑python 在攻击机远程采集全套数据避免在目标机器留下程序原生 cmd 命令用于快速预览不作为完整信息收集手段。SharpHound 采集命令Windows 内存执行.\SharpHound.exe -c All --zipfilename domain_data.zipbloodhound‑pythonLinux 远程采集护网推荐bloodhound‑python -d corp.local -u user01 -p Password123 -ns 192.168.1.10 -c all采集完成得到 zip 数据包导入 BloodHound 图形界面可视化攻击路径。10. 标准化实战信息收集工作流模拟真实场景已经拿到一台域内主机 Shell权限为普通域用户。完整信息收集步骤。基础环境确认systeminfo、whoami、nltest /dclist拿到域名、域控 IP确认当前是否在域环境。执行net accounts /domain拿到域密码策略。LDAP 静态对象收集全部域计算机清单区分服务器 / 工作站标记域控全部域用户筛选禁用账号、密码永不过期、AS‑REP Roasting 账号读取 description 字段全部安全组递归展开高危内置组成员OU 和 GPO访问 SYSVOL 查找 GPP cpassword 明文密码SPN 枚举筛选可 Kerberoasting 的域服务账号枚举域信任关系查看森林、子域情况。资产存活校验LDAP 拿到的计算机对象不一定开机ARP/ICMP 扫描做存活主机筛选过滤报废机器。拿到本地管理员权限后再收集动态信息远程机器本地管理员组成员机器登录会话寻找高权限账号登录位置SMB 共享文件夹枚举全量数据采集可选使用 bloodhound‑python 远程采集全部数据导入 BloodHound寻找最短攻击路径到域管理员。整理输出资产台账整理域控清单、服务器清单、高危账号清单、可 Kerberoasting 账号、AS‑REP 账号、信任拓扑为后续攻击做准备。重要信息收集不是一次性工作。随着权限提升需要重新执行收集高权限可以读取更多对象属性、会话信息。权限提升前后信息收集结果会不一样。11. 信息收集高频踩坑与避坑技巧坑 1过度依赖 net view 获取主机列表net view 依赖 Computer Browser 服务大量服务器关闭该服务返回为空。主机清单必须来自 LDAP 查询不要信任 net view 输出。坑 2LDAP 查询出来计算机对象直接当作存活主机AD 数据库保存历史已经报废机器对象不会自动删除必须做存活探测过滤否则后续扫描大量无效 IP。坑 3查询组成员不加‑Recurse 递归参数漏掉嵌套组成员组嵌套是 AD 非常普遍配置不递归展开会漏掉大量高权限账号。PowerView 查询组务必带上‑Recurse。坑 4SPN 全部拿来 Kerberoasting不区分账号 / 计算机对象SPN 挂载在计算机账号上无法 Kerberoasting只对 samAccountName 是域用户的对象做请求 TGS 票据。坑 5普通域用户权限尝试批量读取远程机器登录会话读取远程机器登录会话需要目标机器本地管理员权限普通域用户默认被拒绝不要浪费时间。SharpHound 只会在已经获得权限的机器采集会话。坑 6忽略 description 用户描述字段和 GPP SYSVOL很多人上来就各种票据攻击但是明文密码就在用户描述、Groups.xml 里面直接拿到账号密码不需要复杂漏洞。坑 7只看 Domain Admins忽略 Account Operators 等高权限内置组Account Operators、Print Operators 权限巨大很多企业运维配置失误把业务账号加入这是高频提权路径。坑 8信息收集一遍之后不再重复执行当权限提升拿到更高权限之后要重新执行信息收集高权限可以读取更多 ACL、会话信息。坑 9扫描速度过快产生大量日志触发告警红队低慢小原则SPN 查询、LDAP 查询噪声很小但是端口扫描、批量请求 TGS 票据会产生大量 4769 事件控制速率。12. 蓝队视角如何检测与防护 AD 信息枚举作为安全运维如何发现攻击者正在做域信息收集如何加固。审计 LDAP 查询行为监控大量 LDAP 查询一次性批量查询全部用户、全部计算机对象这是攻击者信息收集典型行为。监控 Kerberoasting 行为大量请求 TGS 票据事件 ID4769短时间对多个服务账号请求票据 RC4 加密是 Kerberoasting 特征。监控 SYSVOL 大量读取 Groups.xml 等 GPP 文件攻击者读取 SYSVOL 下策略 xml 文件检索 cpassword。定期审计高危安全组成员定期检查 Domain Admins、Account Operators、Print Operators、Group Policy Creator Owners清理无关账号。审计 SPN 服务账号服务账号使用强复杂密码服务账号是 Kerberoasting 主要目标密码复杂度足够即使导出 TGS 票据无法离线爆破。审计 AD 对象 ACL 权限定期扫描异常 GenericAll、WriteDacl 高危 ACL 授权避免普通账号获得对象高危写入权限。禁用 GPP 密码存储不要再使用组策略首选项保存密码该功能本身已经被微软废弃。部署 LAPS管理服务器本地管理员密码防止本地账号密码全网一致。防御关键点普通域用户天然拥有 LDAP 读取权限无法直接禁止普通用户查询 AD 对象加固重心放在账号密码强度、审计高危权限、监控异常行为。13. 学习总结域渗透中信息收集占据绝大部分工作量攻击只是信息收集之后结果的利用。拿到 shell 第一步确认域环境定位域控制器获取域密码策略。LDAP 查询可以拿到域计算机、域用户、安全组、OU、GPO、SPN、域信任普通域用户就可以完成绝大多数静态对象收集。计算机 LDAP 对象不等于存活主机需要做存活校验查询组成员一定要递归处理组嵌套。SPN 扫描基于 LDAP不需要端口扫描噪声低Kerberoasting 仅针对挂载 SPN 的域用户账号。会话、远程本地组、共享文件夹属于动态信息一般需要目标机器管理员权限。工具选择原生命令快速预览PowerView 适合 Windows shellImpacket、bloodhound‑python 适合 Linux 攻击机远程采集BloodHound 图形化分析权限攻击路径。重点挖掘线索用户描述明文密码、SYSVOL GPP 密码、高危内置组成员、AS‑REP Roasting 账号、可 Kerberoasting 服务账号、异常 ACL 权限。信息收集不是一次性操作权限提升之后需要重新采集信息发现新攻击路径。很多新手打域渗透复现靶场很顺利真实内网束手无策根源就是没有标准化信息收集流程只会背攻击命令。只有把内网资产、账号、权限全部梳理清楚才能找到合理攻击链路。最后网络安全需要学习那些知识网络安全零基础入门学习路线规划初级1、网络安全理论知识2天①了解行业相关背景前景确定发展方向。②学习网络安全相关法律法规。③网络安全运营的概念。④等保简介、等保规定、流程和规范。非常重要2、渗透测试基础一周①渗透测试的流程、分类、标准②信息收集技术主动/被动信息搜集、Nmap工具、Google Hacking③漏洞扫描、漏洞利用、原理利用方法、工具MSF、绕过IDS和反病毒侦察④主机攻防演练MS17-010、MS08-067、MS10-046、MS12-20等3、操作系统基础一周①Windows系统常见功能和命令②Kali Linux系统常见功能和命令③操作系统安全系统入侵排查/系统加固基础4、计算机网络基础一周①计算机网络基础、协议和架构②网络通信原理、OSI模型、数据转发流程③常见协议解析HTTP、TCP/IP、ARP等④网络攻击技术与网络安全防御技术⑤Web漏洞原理与防御主动/被动攻击、DDOS攻击、CVE漏洞复现5、数据库基础操作2天①数据库基础②SQL语言基础③数据库安全加固6、Web渗透1周①HTML、CSS和JavaScript简介②OWASP Top10③Web漏洞扫描工具④Web渗透工具Nmap、BurpSuite、SQLMap、其他菜刀、漏扫等恭喜你如果学到这里你基本可以从事一份网络安全相关的工作比如渗透测试、Web 渗透、安全服务、安全分析等岗位如果等保模块学的好还可以从事等保工程师。薪资区间6k-15k到此为止大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗想要入坑黑客网络安全的朋友给大家准备了一份282G全网最全的网络安全资料包免费领取7、脚本编程初级/中级/高级在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中面对复杂多变的网络环境当常用工具不能满足实际需求的时候往往需要对现有工具进行扩展或者编写符合我们要求的工具、自动化脚本这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中想要高效地使用自制的脚本工具来实现各种目的更是需要拥有编程能力.零基础入门建议选择脚本语言Python/PHP/Go/Java中的一种对常用库进行编程学习 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP IDE强烈推荐Sublime ·Python编程学习学习内容包含语法、正则、文件、 网络、多线程等常用库推荐《Python核心编程》不要看完 ·用Python编写漏洞的exp,然后写一个简单的网络爬虫 ·PHP基本语法学习并书写一个简单的博客系统 熟悉MVC架构并试着学习一个PHP框架或者Python框架 (可选) ·了解Bootstrap的布局或者CSS。8、超级黑客这部分内容对零基础的同学来说还比较遥远就不展开细说了贴一个大概的路线。网络安全工程师企业级学习路线视频配套资料国内外网安书籍、文档工具当然除了有配套的视频同时也为大家整理了各种文档和书籍资料工具并且已经帮大家分好类了。一些我自己买的、其他平台白嫖不到的视频教程要学习网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】