Dcsync原理

概述

什么是Dcsync（domain Controller synchronization ）

域控同步:在内网中一般不是一个域控， 会有域树或者域森林等，域控之间是要同步数据的,不同的域控15分钟之间要发起一次数据同步请求，请求里面就包含同步的数据，这里采用的协议是DRS(目录复制服务)，这个就是 DCsync

哪些用户可以运行DCsync服务呢

• administrators组内用户
• domain admins组内用户
• enterprise admins组内用户
• 域控制器的计算机账户

域控的administrator和system也可以

DCsync利用思路

1. 找到有权限的用户，从而远程读取域控用户的信息，可以进行PTH、黄金、白银票据攻击
2. 如果控制了域控，可以在域控添加一个管理员账户从而进行权限维持
3. 可以添加一个普通的用户，修改ACL从而实现可以使用DCsync，进行权限维持

DCsync攻击

使用mimikatz模仿一个域控制器，从真实的域控制器中请求数据，例如用户的哈希值。

该功能最大的特点就是不用登录域控制器，即可远程通过域数据同步复制的方式获得域控制器上的数据

远程读取域控HASH值

远程读取是利用dcsync，前提是必须找到拥有运行dcsync的账号

所以读取hash 的步骤是两步 ：

• 找到拥有dcsync的用户
• 远程读取即可

方法一 mimikatz

读取所有用户的hash值

lsadump::dcsync /domain:xbxaq.com /all /csv

读取单个用户

lsadump::dcsync /domain:xbxaq.com /user:ls

方式二 secretsdump工具

 secretsdump.exe 域名/用户名或者hash:密码@IP

secretsdump.exe xbxaq/administrator:a1b2c3123..@192.168.110.10

利用Dcsync远程读取明文账号

利用DCSync可以获取明文凭据，主要是因为账户勾选了"使用可逆加密存储密码"的属性

lsadump::dcsync /domain:xbxaq.com /user:ls