内网渗透基础知识

1、工作组

工作组(Work Group)是最常见最简单最普通的资源管理模式，就是将不同的电脑按功能分别列入不同的组中，以方便管理。比如在一个网络内，可能有成百上千台工作电脑，如果这些电脑不进行分组，都列在“网上邻居”内，可想而知会有多么乱。为了解决这一问题，Windows 9x/NT/2000才引用了“工作组”这个概念，比如一所高校，会分为诸如数学系、中文系之类的，然后数学系的电脑全都列入数学系的工作组中，中文系的电脑全部都列入到中文系的工作组中……如果你要访问某个系别的资源，就在“网上邻居”里找到那个系的工作组名，双击就可以看到那个系别的电脑了。

加入创建工作组的方法很简单。右击桌面上的“计算机”图标，在弹出的快捷菜单中选择“属性“选项，然后依次单击”更改设置“和”更改“按钮，在”计算机名“输人框中输入计算机的名称，在“工作组”输人框中输人想要加人的工作组的名称。

2、域

2.1、域

域( Domain)是一个有安全边界的计算机集合（安全边界的意思是，在两个域中，一个域中的用户无法访问另一个域中的资源）。可以简单地把域理解成升级版的工作组。与工作组相比，域的安全管理控制机制更加严格。用户要想访问域内的资源，必须以合法的身份登录域，而用户对域内的资源拥有什么样的权限，还取决于用户在域内的身份。

2.2、域控制器

域控制器( Domain Controller, DC )是域中的一台类似管理服务器的计算机，我们可以形象地将它理解为一个单位的门禁系统。域控制器负责所有连人的计算机和用户的验证工作。域内的计算机如果想互相访问，都要经过域控制器的审核。

域控制器中存在由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当计算机连接到域时，域控制器首先要鉴别这台计算机是否属于这个域，以及用户使用的登录账号是否存在、密码是否正确。如果以上信息有一-项不正确，域控制器就会拒绝这个用户通过这台计算机登录。如果用户不能登录，就不能访问服务器中的资源。

域控制器是整个域的通信枢纽，所有的权限身份验证都在域控制器上进行，也就是说，域内所有用来验证身份的账号和密码散列值都保存在域控制器中。

2.3、域的分类

2.3.1、单域

通常，在一个地理位置固定的小公司里，建立一个域就可以满足需求。在一个域内， 一般要有至少两台域服务器，一台作为DC，另一台作为备份DC。活动目录的数据库(包括用户的账号信息)是存储在DC中的，如果没有备份DC, 一旦DC瘫痪了，域内的其他用户就不能登录该域了。如果有一台备份DC，至少该域还能正常使用( 把瘫痪的DC恢复即可)。

2.3.2、父域和子域

出于管理及其他需求，需要在网络中划分多个域。第一个域称为父域，各分部的域称为该域的子域。例如，一个大公司的各个分公司位于不同的地点，就需要使用父域及子域。如果把不同地点的分公司放在同一个域内， 那么它们之间在信息交互上花费的时间就会比较长，占用的带宽也会比较大(在同一个域内，信息交互的条目是很多的，而且不会压缩；在不同的域之间，信息交互的条目相对较少，而且可以压缩)。这样处理有一个好处，就是分公司可以通过自己的域来管理自己的资源。还有一种情况是出于安全策略的考虑(每个域都有自己的安全策略)。例如，一个公司的财务部希望使用特定的安全策略(包括账号密码策略等),那么可以将财务部作为一个子域来单独管理。

2.3.3、域树

域树(Tree)是多个域通过建立信任关系组成的集合。一个域管理员只能管理本域,不能访问或者管理其他域。如果两个域之间需要互相访问，则需要建立信任关系( Trust Relation)。信任关系是连接不同域的桥梁。域树内的父域与子域，不但可以按照需要互相管理，还可以跨网络分配文件和打印机等设备及资源，从而在不同的域之间实现网络资源的共享与管理、通信及数据传输。

在一个域树中，父域可以包含多个子域。子域是相当父域来说的，指的是域名中的每一个段。例如，asa.abc.com是abc.com的子域。

2.3.4、域森林

域森林( Forest )是指多个域树通过建立信任关系组成的集合。例如，在一个公司兼并场景中，某公司使用域树abc.com，被兼并的公司本来有自己的域树abc.net (或者在需要为被兼并公司建立具有自己特色的域树时)，域树abc.net无法挂在域树abc.com下。所以，域树abc.com与域树abc.net之间需要通过建立信任关系来构成域森林。通过域树之间的信任关系，可以管理和使用整个域森林中的资源，并保留被兼并公司自身原有的特性。

2.3.5、域名服务器

域名服务器( Domain Name Server, DNS )是指用于实现域名( Domain Name )和与之相对应的IP地址( IP Address )转换的服务器。从对域树的介绍中可以看出，域树中的域名和DNS域名非常相似。而实际上，因为域中的计算机是使用DNS来定位域控制器、服务器及其他计算机、网络服务的，所以域的名字就是DNS域的名字。在内网渗透测试中，大都是通过寻找DNS服务器来确定域控制器的位置的(DNS服务器和域控制器通常配置在同一台机器上)。

3、活动目录

活动目录( Active Directory, AD )是指域环境中提供目录服务的组件。

目录用于存储有关网络对象（例如用户、组、计算机、共享资源、打印机和联系人等）的信息。目录服务是指帮助用户快速、准确地从目录中找到其所需要的信息的服务。活动目录实现了目录服务，为企业提供了网络环境的集中式管理机制。

在活动目录中，管理员不需要考虑被管理对象的地理位置，只需要按照一定的方式将这些对象放置在不同的容器中。这种不考虑被管理对象的具体地理位置的组织框架称为逻辑结构。

活动目录的逻辑结构包括前面讲过的组织单元(OU)域、域树、域森林。域树内的所有域共享一个活动目录，这个活动目录内的数据分散存储在各个域中，且每个域只存储该域内的数据。

活动目录这种层次结构，可以使企业网络具有极强的可扩展性，便于进行组织、管理及目录定位。

活动目录主要提供以下功能。

1. 账号集中管理：所有账号均存储在服务器中，以便执行命令和重置密码等。

2. 软件集中管理：统一推送软件、安装网络打印机等。利用软件发布策略分发软件，可以让用户自由选择需要安装的软件。

3. 环境集中管理：统一客户端桌面、IE、TCP/IP协议等设置。

4. 增强安全性：统一部署杀毒软件和病毒扫描任务、集中管理用户的计算机权限、统一制定用户密码策略等。可以监控网络，对资料进行统一管理。

5. 更可靠，更短的宕机时间：例如，利用活动目录控制用户访问权限，利用群集、负载均衡等技术对文件服务器进行容灾设置。网络更可靠，宕机时间更短。活动目录是微软提供的统一管理基础平台， ISA、 Exchange、 SMS等都依赖这个平台。

4、域控制器和活动目录的区别

如果网络规模较大，就要把网络中的众多对象，例如计算机、用户、用户组、打印机、共享文件等，分门别类、井然有序地放在一个大仓库中， 并将检索信息整理好，以便查找、管理和使用这些对象(资源)。这个拥有层次结构的数据库，就是活动目录数据库，简称AD库。如果内网中的一台计算机上安装了AD,它就变成了DC (用于存储活动目录数据库的计算机)。

5、安全域的划分

划分安全域的目的是将一组安全等级相同的计算机划人同一个网段。这个网段内的计算机拥有相同的网络边界，并在网络边界上通过部署防火墙来实现对其他安全域的网络访问控制策略( NACL)，从而对允许哪些IP地址访问此域、允许此域访问哪些IP地址和网段进行设置。这些措施，将使得网络风险最小化，当攻击发生时，可以尽可能地将威胁隔离，从而降低对域内计算机的影响。

在一个用路由器连接的内网中，可以将网络划分为三个区域：安全级别最高的内网；安全级别中等的DMZ；安全级别最低的外网( Internet)。这三个区域负责完成不同的任务，因此需要设置不同的访问策略。
DMZ称为隔离区，是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题而设立的一个非安全系统与安全系统之间的缓冲区。DMZ位于企业内部网络和外部网络之间。可以在DMZ中放置一些必须公开的服务器设施，例如企业Web服务器、FTP 服务器和论坛服务器等。DMZ是对外提供服务的区域，因此可以从外部访问。

6、域中计算机的分类

在域结构的网络中，计算机的身份是不平等的，有域控制器、成员服务器、客户机、独立服务器四种类型。

6.1、域控制器

域控制器用于管理所有的网络访问，包括登录服务器、访问共享目录和资源。域控制器中存储了域内所有的账户和策略信息，包括安全策略、用户身份验证信息和账户信息。
在网络中，可以有多台计算机被配置为域控制器，以分担用户的登录、访问等操作。多个域控制器可以一起工作，自动备份用户账户和活动目录数据。这样，即使部分域控制器瘫痪，网络访问也不会受到影响，提高了网络的安全性和稳定性。

6.2、成员服务器

成员服务器是指安装了服务器操作系统并加入了域、但没有安装活动目录的计算机，其主要任务是提供网络资源。成员服务器的类型通常有文件服务器、应用服务器、数据库服务器、Web服务器、邮件服务器、防火墙、远程访问服务器、打印服务器等。

6.3、客户机

域中的计算机可以是安装了其他操作系统的计算机，用户利用这些计算机和域中的账户就可以登录域。这些计算机被称为域中的客户机。域用户账号通过域的安全验证后，即可访问网络中的各种资源。

6.4、独立服务器

独立服务器和域没有关系。如果服务器既不加入域，也不安装活动目录，就称其为独立服务器。独立服务器可以创建工作组、与网络中的其他计算机共享资源，但不能使用活动目录提供的任何服务。

7、域内权限解读

组( Group)是用户账号的集合。通过向一组用户分配权限，就可以不必向每个用户分别分配权限。

7.1、域本地组

多域用户访问单域资源(访问同一个域)，可以从任何域添加用户账号、通用组和全局组，但只能在其所在域内指派权限。域本地组不能嵌套在其他组中。域本地组主要用于授予本域内资源的访问权限。

7.2、全局组

单域用户访问多域资源（必须是一个域里面的用户）只能在创建该全局组的域中添加用户和全局组。可以在域森林的任何域内指派权限。全局组可以嵌套在其他组中。

可以将某个全局组添加到同一个域的另一个全局组中，或者添加到其他域的通用组和域本地组中(不能添加到不同域的全局组中，全局组只能在创建它的域中添加用户和组)。虽然可以通过全局组授予用户访问任何域内资源的权限，但一般不直接用它来进行权限管理。

全局组和域本地组的关系，与域用户账号和本地账号的关系类似。域用户账号可以在全局使用，即在本域和其他关系的其他域中都可以使用，而本地账号只能在本机中使用。例如：将用户张三(Z3)添加到域本地组 Administrators 中，并不能使Z3对非DC的域成员计算机拥有任何特权。但若将Z3添加到全局组Domain Admins中，用户张三就成为了域管理员了(可以在全局使用，对域成员计算机拥有特权)。

7.3、通用组

通用组的成员可包括域树或域林中任何域的用户账号、全局组和其他通用组，可以在该域森林的任何域中指派权限，可以嵌套在其他组中，非常适合在域森林内的跨域访问中使用。不过，通用组的成员不是保存在各自的域控制器中，而是保存在全局编录(GC)中的，任何变化都会导致全林复制。

全局编录通常用于存储一些不经常发生变化的信息。由于用户账号信息是经常变化的，建议不要直接将用户账号添加到通用组中，而要先将用户账号添加到全局组中，再把这些相对稳定的全局组添加到通用组中。

简单一句话概括：域本地组：来自全林，作用于本域；全局组：来自本域，作用于全林；通用组：来自全林，作用于全林

7.4、A-G-DL-P策略

A-G-DL-P策略是指将用户账号添加到全局组中，将全局组添加到域本地组中，然后为域本地组分配资源权限。

• A 表示用户账号(Account)
• G 表示全局组(Global Group)
• U 表示通用组(Universal Group)
• DL 表示域本地组(Domain Local Group)
• P 表示资源权限(Permission)

按照A-G-DL-P策略对用户进行组织和管理是非常容易的。在A-G-DL-P策略形成以后，当需要给一个用户添加某个权限时，只要把这个用户添加到某个域本地组中就行了。

在安装域控制器时，系统会自动生成一些组，称为内置组。内置组定义了一些常用的权限。通过将用户添加到内置组中可以使用户获得相应的权限。活动目录控制台窗口的 Builtin 和 Users 组织单元中的组就是内置组。

比较重要的域本地组权限

• 管理员组(Administrators)：该组的成员可以不受限制地存取计算机/域内的资源。它不仅是最具权利的一个组，也是在活动目录和域控制器中默认具有管理员权限的组。该组的成员可以更改 Enterprise Admins、Schema Admins 和 Domain Admins 组的成员关系，是域森林中年强大的服务管理组。

• 远程登录组(Remote Desktop Users)：该组的成员具有远程登录权限。

• 打印机操作员组(Print Operators)：该组的成员可以管理网络打印机，包括建立，管理及删除网络打印机，并可以在本地登录和关闭域控制器。

• 账号操作员组(Account Operators)：该组的成员可以创建和管理该域中的用户和组并为其设置权限，也可以在本地登录域控制器。但是，不能更改属于Administrators或Domain Admins组的账号，也不能更改这些组。在默认情况下，该组中没有成员。

• 服务器操作员组(Server Operators)：该组的成员可以管理域服务器，其权限包括建立、管理、删除任意服务器的共享目录、管理网络打印机、备份任何服务器的文件、格式化服务器硬盘、锁定服务器、变更服务器的系统时间、关闭域控制器等。在默认情况下，该组中没有成员。

• 备份操作员组(Backup Operators)：该组的成员可以在域控制器中执行备份和还原操作，并可以在本地登录和关闭域控制器。在默认情况下，该组中没有成员。

重要的全局组、通用组的权限

• 域管理员组(Domain Admins)：该组的成员在所有加入域的服务器、域控制器和活动目录中均默认拥有完整的管理员权限。因为该组会被添加到自己所在域的Administrators组中，因为可以继承Administrators组的所有权限。同时，该组默认会被添加到每台域成员计算机的本地Administrators组中。这样，Domain Admins组就获得了域中所有计算机的所有权。如果希望某用户成为域系统管理员，建议将该用户添加到Domain Admins组中，而不要直接将该用户添加到Administrators组中。

• 企业系统管理员组(Enterprise Admins)：该组是域森林根域中的一个组。该组在域森林中的每个域内都是Administrators组的成员，因此对所有域控制器都有完全访问权。

• 域用户组(Domain Users)：该组是所有的域成员，在默认情况下，任何由我们建立的用户账号都属于Domain Users组，而任何由我们建立的计算机账号都属于Domain Computers组。因此，如果想让所有的账号都获得某种资源存取权限，可以将该权限指定给域用户组，或者让域用户组属于具有该权限的组。域用户组默认是内置域Users组的成员。

• 架构管理员组(Schema Admins)：该组是域森林根域中的一个组，可以修改活动目录和域森林的模式。该组是为活动目录和域控制器提供完整权限的域用户组，因此，该组成员的资格是非常重要的。

号都获得某种资源存取权限，可以将该权限指定给域用户组，或者让域用户组属于具有该权限的组。域用户组默认是内置域Users组的成员。

• 架构管理员组(Schema Admins)：该组是域森林根域中的一个组，可以修改活动目录和域森林的模式。该组是为活动目录和域控制器提供完整权限的域用户组，因此，该组成员的资格是非常重要的。

参考：《内网安全攻防 渗透测试指南》