DCShadow
DCShadow
它在AD中注册一个新的域控制器，并使用它来在指定对象上推送属性（SIDHistory、SPNs等），而不会留下任何关于修改的日志。您需要DA权限并且必须在根域内。 请注意，如果使用错误的数据，将会出现相当丑陋的日志。
要执行攻击，您需要2个mimikatz实例。其中一个将以SYSTEM权限启动RPC服务器（您必须在此指定要执行的更改），另一个实例将用于推送值：
请注意，elevate::token 在 mimikatz1 会话中不起作用，因为它提升了线程的特权，但我们需要提升进程的特权。
您还可以选择和“LDAP”对象：/object:CN=Administrator,CN=Users,DC=JEFFLAB,DC=local
您可以从具有以下最低权限的 DA 或用户推送更改：
在域对象中：
DS-Install-Replica（在域中添加/删除副本）
DS-Replication-Manage-Topology（管理复制拓扑）
DS-Replication-Synchronize（复制同步）
配置容器中的站点对象（及其子对象）：
CreateChild 和 DeleteChild
注册为 DC 的计算机对象：
WriteProperty（不是 Write）
目标对象：
WriteProperty（不是 Write）
您可以使用Set-DCShadowPermissions 将这些权限授予无特权用户（请注意，这将留下一些日志）。这比拥有 DA 权限要严格得多。
例如：Set-DCShadowPermissions -FakeDC mcorp-student1 SAMAccountName root1user -Username student1 -Verbose 这意味着用户名 student1 在 mcorp-student1 计算机上登录时具有对对象 root1user 的 DCShadow 权限。
使用 DCShadow 创建后门
Shadowception - 使用DCShadow授予DCShadow权限（无修改权限日志）
我们需要在以下ACE后附加我们用户的SID：
在域对象上：
(OA;;CR;1131f6ac-9c07-11d1-f79f-00c04fc2dcd2;;UserSID)(OA;;CR;9923a32a-3607-11d2-b9be-0000f87a36b2;;UserSID)(OA;;CR;1131f6ab-9c07-11d1-f79f-00c04fc2dcd2;;UserSID)在攻击者计算机对象上：
(A;;WP;;;UserSID)在目标用户对象上：
(A;;WP;;;UserSID)在配置容器中的站点对象上：
(A;CI;CCDC;;;UserSID)
要获取对象的当前ACE：(New-Object System.DirectoryServices.DirectoryEntry("LDAP://DC=moneycorp,DC=loca l")).psbase.ObjectSecurity.sddl
请注意，在这种情况下，您需要进行多个更改，而不仅仅是一个。因此，在mimikatz1会话（RPC服务器）中，使用参数**/stack与您想要进行的每个更改**。这样，您只需要**/push**一次即可执行在恶意服务器中所有堆积的更改。
最后更新于