AD ACL 攻击手册

要解决什么问题

AD 权限体系里最隐蔽的一类问题，往往不是密码泄露，而是对象 ACL 上的过度授权：一个服务账户被授予 GenericAll 或 WriteDACL，攻击面就从这一条 ACE 向整个域扩散。人工审计 ADSIedit 的 ACL 输出既慢又容易漏看关键权限位，而通用模型对多跳 ACL 链的推理能力有限，常常漏掉 GenericAll → 设置 SPN → Kerberos 委派这类组合路径。

技能如何工作

该技能把 AD ACL 滥用拆成可操作的步骤：

• BloodHound 枚举：从数据收集开始，用内置 Cypher 查询定位 Domain Admins、拥有 DCSync 权限的主体、无约束委派系统、Domain Users 为本地管理员的计算机。
• 危险 ACE 识别：按效果区分 GenericAll、GenericWrite、WriteDACL、WriteOwner、ForceChangePassword、AddMember、AllExtendedRights、ReadLAPSPassword、WriteSPN，并分别说明在用户、组、计算机三类对象上的落地方式。
• ACE 定向利用：针对每种 ACE 给出具体手法，如 GenericAll 直接改密码、WriteOwner 先取得所有权再 WriteDACL、AddMember 把自己写入高权限组。
• DCSync：明确需同时具备 DS-Replication-Get-Changes 与 DS-Replication-Get-Changes-All 两项复制权限（GUID 1131f6aa-... 与 1131f6ad-...），并列出默认具备该权限的主体。
• 影子凭据：写入 msDS-KeyCredentialLink → 生成证书 → PKINIT 认证，并提示清理以避免留下痕迹。
• LAPS 与 GPO：读取 LAPS 密码；识别可写的 GPO 并用 SharpGPOAbuse 投递。
• 决策树：把上述能力收敛成 ACL 攻击决策树，沿攻击路径判断下一步动作。

此外给出联动路由：Kerberos 攻击、ADCS、NTLM 中继与横向移动，这些通常与 ACL 滥用串联成完整链路。

适用边界

• 面向已获得一定域内权限、能枚举 ACL 的场景，不解决初始立足点问题。
• 只覆盖 Windows AD 的 ACL、复制与凭据体系，不涉及云 IAM。
• 影子凭据清理等步骤属于检测规避范畴，需在授权范围内评估。
• ACE 效果与默认 DCSync 主体基于常见配置，实际环境的自定义授权可能有差异。