内网基础-域环境

内网基础

1.域介绍

​ Windows域是计算机网络的一种形式，其中所有用户帐户 ，计算机，打印机和其他安全主体都在位于称为域控制器的一个或多个中央计算机集群上的中央数据库中注册。 身份验证在域控制器上进行。在域中使用计算机的每个人都会收到一个唯一的用户帐户，然后可以为该帐户分配对该域内资源的访问权限。

​ 域 (Domain)是一个有安全边界的计算机集合(安全边界的意思是,在两个域中,一个域中的用户无法 访问另一个域中的资源)可以简单地把域理解成升级版的工作组。与工作组相比,域的安全管理控制机制更加严格。用户要想访问域内的资源,必须以合法的身份登录域,而用户对域内的资源拥有什么样的权限,还取决于用户在域内的身份。

​ 域控制器(Domain Controller,DC)是域中的一台类似管理服务器的计算机。域控制器中存在由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当计算 机连接 到域时,域控制器首先要鉴别这台计算机是否属于这个域,以及用户使用的登录账号是否存在、密码是否正确。如果以上信息有一项不正确,域控制器就会拒绝这个用户通过这台计算机登录。如果用户不 能登录,就不能访问服务器中的资源。

​ 域控制器是整个域的通信枢纽,所有的权限身份验证都在域控制器上进行,也就是说,域内所有用来验证身份的账号和密码散列值都保存在域控制器中。

单域

​ 通常,在一个地理位置固定的小公司里,建立一个域就可以满足需求。在一个域内,一般要有至少两台域服务器,一台作为DC,另一台作为备份DC

父域和子域

​ 出于管理及其他需求,需要在网络中划分多个域。第一个域称为父域,各分部的域称为该域的子域。例如大公司的各个分公司位于不同的地点,就需要使用父域及子域。如果把不同地点的分公司放在同一 个域内,那么它们之间在信息交互(包括同步、复制等)上花费的时间就会比较长,占用的带宽也会比较大(在同一个域内,信息交互的条目是很多的,而且不会压缩; 在不同的域之间,信息交互的条日相对较少, 而且可以压缩)。这样处理有一个好处,就是分公司可以通过自己的域来管理自己的资源。还有一种情况是出于安全策略的考虑(每个域都有自己的 安全策略)例如,一个公司的财务部希望使用特定的安全策略(包括账号密码策略等)、那么可以将财务部作为一个子域来单独管理。

域树

​ 域树(Tree)是多个域通过建立信任关系组成的集合。一个域管理员只能管理本域,不能访问或者管理其他域。如果两个域之间需要互相访问,则需要建立信任关系，信任关系是连接不同域的桥梁。域树内的父域与子域,不但可以按照需要互相管理、还可以跨网络分配文件和打印机等设备及资源,从而在 不同的域之间实现网络资源的共享与管理、通信及数据传输

​ 在一个域树中,父域可以包含多个子域。子域是相对父域来说的,指的是域名中的每一个段。 各子域之间用点号隔开,一个”.”代表一个层次。放在域名最后的子域称为最高级子域或一级域,它前面的子域为二级域

域森林

​ 域森林( Forest)是指多个域树通过建立信任关系组成的集合。

​ 例如,在一个公司兼并场景中某公司使 用域树 abc. com,被兼并的公司本来有自己的域树abc. net, 域树abc.net无法挂在域树abc.com下。 所以,域树abc.com与域树 abc. net之间需要通过建立信任关系来构成域森林。通过域树之间的信任 关系,可以管理和使用整个域森林中的资源,并保留被兼并公司自身原有的特性

域名服务器

​ 域名服务器(Domain Name Server,DNs)是指用于实现域名( Domain Name)和与之相对的IP地址( IP Address)转换的服务器。从对域树的介绍中可以看出,域树中的域名和DNS域名非常相似。而实际上,因为域中的计算机是使用DNS来定位域控制器、服务器及其他计算机、网络服务的,所以域的名字就是DNS域的名字。在内网渗透测试中,大都是通过寻找DNS服务器来确定域控制器的位置的(DNS 服务器和域控制器通常配置在同一机器上)

2.域环境搭建

机器	ip
WindowsServer 2012 R2（域控）	10.210.100.10（静态）
WindowsServer 2008 R2（域内主机）	10.210.100.20（可设置为静态 也可动态）
WindowsServer 2003 R2（域内主机）	10.210.100.30

winserver2012配置

1.修改为静态ip

2.更改计算机名为DC

3.安装域控制器和DNS服务

单击【添加角色和功能】选项,进入添加角色和功能向导界面。在【开始之前】部分, 本保持默认设置。单击下一步按钮,进入【安装类型】部分,选择基于角色或者基于功能的 安装选项。单击下一步按 钮,进入【服务器选择】部分。目前,在服务器池中只有当前这 台机器,保持默认设置。单击下一步按 钮,在【服务器角色】部分勾选【 Active Directory域 服务】和【DNS服务器】复选框

在”功能”界面保持默认设置,单击”下一步”按钮,进人”确认”部分。确认需要安装的组件,勾选”如果需 要,自动重新启动目标服务器”复选框,,然后单击”安装” 按钮

4.升级服务器

在【域控制器选项】部分,将林功能级别、域功能级别都设置为” WindowsServer2012R2”,创建域林 时,在默认情况下应选择DNS服务器,林中的第一个域控制器必须是全局目录服务器且不能是只读域控 制器(RODC)。然后,设置目录服务还原模式的密码(在开机 进入安全模式修复活动目录数据库时将使用此密码

在【DNS选项】部分会出现关于DNS的警告。不用理会该警告,保持默认设置。单击”下一步”按钮,进入”其他选项”部分。在”NetBIOS域名”(不支持DNS域名的旧版本操作系统,例如Windows98、NT,需 要通过NetBIOs域名进行通信)部分保持默认设置。单击”下一步”按钮,进人”路径”部分,指定数据库、 日志、SYSVOL文件夹的位置,其他选项保持默认设置。单击”下一步”按钮,保持默认设置。单击”下一 步”按钮,最后单击”安装按钮。安装后,需要重新启动服务器，最后升级为域控

检查通过 安装即可

安装完成后会重启计算机 设置成功后会新增一些管理工具

5.创建用户

点击AD用户和计算机管理 来到hack.com–>Users–>右键新建用户

设置密码永不过期

将机器winserver2008加入域

配置为静态ip10.210.100.20 设置DNS服务器地址为winserver2012

更改计算机名 加入域hack.com

验证：需要输入域控的管理员账号密码

重启即可 此时2008可通过两种方式登录

方式1：本地administrator用户

方式2：切换用户 使用DC中新建的用户jack登录

3.活动目录(Active Directory,AD)

活动目录( Active Directory,AD)是指域环境中提供目录服务的组件

目录用于存储有关网络对象(例如用户、组、计算机、共享资源、打印机和联系人等)的信息。

目录服务是指帮助用户快速、准确地从目录中找到其所需要的信息的服务。活动目录实现了目录服务,为企业提供了网络环境的集中式管理机制活动目录的逻辑结构包括前面讲过的组织单元(OU)、域、域树、域森林。域树内的所有域共享一个活动目录,这个活动目录内的数据分散存储在各个域中,且每个域只存储该域内的数据

活动目录主要提供以下功能 ：

1.账号集中管理:所有账号均存储在服务器中,以便执行命令和重置密码等。 
2.软件集中管理:统一推送软件、安装网络打印机等。利用软件发布策略分发软件,可以让 用户自由选择需要安装的软件。 3.环境集中管理:统一客户端桌面、IE、TCPP协议等设置。 
4.增强安全性:统一部署杀毒软件和病毒扫描任务、集中管理用户的计算机权限、统一制定用户密码策略等。可以监控网络,对资料进行统一管理。 
5.更可靠,更短的宕机时间:例如,利用活动目录控制用户访问权限,利用群集、负载均衡等技术对文件服务器进行容灾设置。网络更可靠,宕机时间更短。 
6.活动目录是微软提供的统一管理基础平台,ISA、 Exchange、SMS等都依赖这个平台

管理工具–AD用户和计算机

• Builtin 管理安全组

• Computers 加入域的计算机

• Domain Controller 域控

• Users 存放用户信息

例：

1.添加用户到域管理员组

右键添加到组–>选择Domain Admins

2.新建用户+新建组+添加用户到组

Users–>右键新建 用户–>设置密码

Users–>右键新建组

右键用户添加到组

组织单元

组织单元（OU）是域中包含的一类目录对象如用户、计算机和组、文件与打印机等资源，是一个容器，可以在OU上部署组策略

组织单元是域中包含的一类目录对象如用户、计算机和组、文件与打印机等资源。是一个容器。组织单元还具有分层结构可用来建立域的分层结构模型，进而可使用户把网络所需的域的数量减至最小

例如AD中的各个文件夹可以称为一个组织单元

实验

部门	人数
财务部门	20
人事部门	10
IT部门	100
网络管理员	3

1.创建组织单元

hack.com–>右键新建组织单位

2.在部门中新建用户

其余同理 组织单元下可再建组织单元

委派控制

因为财务部门有20个人，不能有问题就去找网络管理员，需要委派控制权限给财务部门一个代表， 让他去执行，也就是说在财务部门找一个代表，他由相应的权限去管理财务部门的计算机和用户

选择委派的权限：

4.域中的权限划分和基本思想

域本地组

域本地组成员来自林中任何域中的用户账户、全局组和通用组以及本域中的域本地组，在本域范围内
可用。

全局组

全局组成员来自于同一域的用户账户和全局组，在全林范围内可用

通用组

通用组成员来自林中任何域中的用户账户、全局组和其他的通用组，在全林范围内可用

域本地组来自全林,作用于本域;
全局组来自本域,作用于全林;
通用组来自全林,作用于全林。

案例一

有一个打印机连接域控，设置域本地组赋予使用打印机的权限，然后设置全局组，将人员都加入到全
局组，然后将全局组加入到域本地组就可以了

案例二

有三个域hack.com(在北京)，sh.hack.com(在上海)，gz.hack.com(在广州)组成W林，然后北京财
务部门，需要进行结算，但是数据在北京的一台服务器上权限比较高只有北京财务人员可以使用，同
时因为北京人数不够，需要上海和广州支援，这个时候怎么办？
1、只需要在北京的建立一个域本地组，然后赋予域本地组权限可以访问财务的数据机器
2、在上海和广州分别建立全局组
3、在北京的域控上将上海和广州的全局组加入进来

A-G-DL-P策略

A-G-DL-P策略是指将用户账号添加到全局组（将其当作一个集合，不给权限）中,将全局组添加到域本地组中,然后为域本地组分配资源权限

A表示用户账号( Account)

G表示全局组( Global Group)

U表示通用组( Universal Group)

DL表示域本地组( Domain Local Group)

P表示资源权限( Permission,许可)

重要的域本地组

• 管理员组(Administrators)的成员可以不受限制地存取计算机/域的资源。它不仅是最具权力的一个组,也是在活动目录和域控制器中默认具有管理员权限的组。该组的成员可以更改 Enterprise Admins、Schema admins和Domain admins组的成员关系,是域森林中强大的 服务管理组 
• 远程登录组(Remote Desktop Users)的成员具有远程登录权限。 
• 打印机操作员组( Print Operators)的成员可以管理网络打印机,包括建立、管理及删除网 络打印机, 并可以在本地登录和关闭域控制器。 
• 账号操作员组(Account Operators)的成员可以创建和管理该域中的用户和组并为其设置权 限,也 可以在本地登录域控制器,但是,不能更改属于 Administrators或 Domain admins组 的账户,也不能 修改这些组。在默认情况下,该组中没有成员。 
• 服务器操作员组(Server Operators)的成员可以管理域服务器,其权限包括建立管理删除 任意服务 器的共享目录、管理网络打印机、备份任何服务器的文件、格式化服务器硬盘 锁定服务器、变更服 务器的系统时间、关闭域控制器等。在默认情况下,该组中没有成员。 
• 备份操作员组(Backup Operators)的成员可以在域控制器中执行备份和还原操作,并可以 在本地登 录和关闭域控制器。在默认情况下,该组中没有成员 
• 再介绍几个重要的全局组、通用组的权限。 
• 域管理员组(Domain Admins)的成员在所有加入域的服务器(工作站)、域控制器和活动 目录中均 默认拥有完整的管理员权限。因为该组会被添加到自己所在域的Administrators 组中,因此可以继 承 Administrators组的所有权限。同时,该组默认会被添加到每台域成员 计算机的本地Administrators组中,这样, Domain admins组就获得了域中所有计算机的所 有权。如果希望某用户 成为域系统管理员,建议将该用户添加到 Domain admins组中,而 不要直接将该用户添加到Administrators组中。 
• 企业系统管理员组(Enterprise Admins)是域森林根域中的一个组。该组在域森林中的每个 域内都 是 Administrators组的成员,因此对所有域控制器都有完全访问权。 
• 架构管理员组(Schema admins)是域森林根域中的一个组,可以修改活动目录和域森林的 模式。该 组是为活动目录和域控制器提供完整权限的域用户组,因此,该组成员的资格是 非常重要的。 
• 域用户组(Domain users)中是所有的域成员。在默认情况下,任何由我们建立的用户账号 都属于Domain Users组,而任何由我们建立的计算机账号都属于Domain Computers组。因 此,如果想让 所有的账号都获得某种资源存取权限,可以将该权限指定给域用户组,或者 让域用户组属于具有该权限 的组。域用户组默认是内置域 Users组的成员

5.安全域划分

​ 划分安全域的目的是将一组安全等级相同的计算机划入同一个网段。这个网段内的计算机拥 有相同的网络边界,并在网络边界上通过部署防火墙来实现对其他安全域的网络访问控制策略 ，从而对允许哪些IP地址访问此域、允许此域访问哪些IP地址和网段进行设置。这些措施,将使得网络风险最小化, 当攻击发生时,可以尽可能地将威胁隔离,从而降低对域内计算机的影响。

在一个用路由器连接的内网中,可以将网络划分为三个区域:

安全级别最高的内网;

安全级别中等的DMZ;

安全级别最低的外网

在配置一个拥有DMZ的网络时,通常需要定义如下访问控制策略,以实现其屏障功能。

内网可以访问外网:内网用户需要自由地访问外网。在这一策略中,防火墙需要执行NAT。
内网可以访问DMZ:此策略使内网用户可以使用或者管理DMZ中的服务器
外网不能访问内网:这是防火墙的基本策略。内网中存储的是公司内部数据,显然,这些数据一般是不允许外网用户访问的(如果要访问,就要通过VPN的方式来进行)
外网可以访问DMZ:因为DMZ中的服务器需要为外界提供服务,所以外网必须可以访问DMZ。同时,需要由防火墙来完成从对外地址到服务器实际地址的转换。
DMZ不能访问内网:如果不执行此策略,当攻击者攻陷DMZ时,内网将无法受到保护
DMZ不能访问外网:此策略也有例外。例如,在DMZ中放置了邮件服务器,就要允许访问外网,否则邮件服务器无法正常工作

办公区:公司员工日常的工作区,一般会安装防病毒软件、主机入侵检测产品等。

办公区一般能够访问DMZ。如果运维人员也在办公区,那么部分主机也能访问核心数据区(很多企业还会使用堡垒机来统一 管理用户的登录行为)攻击者如果想进入内网,一艘会使用鱼叉攻击、水坑攻击,当然还有社会工程学手段。

核心区:存储企业最重要的数据、文档等信息资产,通过日志记录、安全审计等安全措施进行严密的保护,往往只有很少的主机能够访问。

从外部是绝难直接访问核心区的。一般来说,能够直接访问核心区的只有运维人员或者IT部门的主管,所以,攻击者会重点关注这些用户的信息(攻击者在内网中进行横向 移动攻击时,会优先查找这些主机

6.域中计算机的分类

域中计算机的分类在域结构的网络中,计算机的身份是不平等的,有域控制器、成员服务器、客户机、 独立服务器四种类型。

1、域控制器 （内网渗透目标）

域控制器用于管理所有的网络访问,包括登录服务器、访问共享目录和资源。域控制器中存储了域内所有的账户和策略信息,包括安全策略、用户身份验证信息和账户信息。

在网络中,可以有多台计算机被配置为域控制器,以分拒用广的登录、访问等操作。多个域控制器可以一起工作,自动备份用户账户和活动目录数据。这样,即使部分域控制器瘫痪,网络访问也不会受到影响,提高了网络的安全性和稳定性

2、成员服务器

成员服务器是指安装了服务器操作系统并加入了域、但没有安装活动目录的计算机,其主要任务是提供网络资源。成员服务器的类型通常有文件服务器、应用服务器、数据库服务器、web服务器、邮件服务器、防火墙、远程访问服务器、打印服务器等 例如win2008Server等

3、客户机

域中的计算机可以是安装了其他操作系统的计算机,用户利用这些计算机和域中的账户就可以登录域。这些计算机被称为域中的客户机。域用户账号通过域的安全验证后,即可访间网络中的各种资源。

4、独立服务器

独立服务器和域没有关系。如果服务器既不加入域,也不安装活动目录,就称其为独立服务器。独立服务器可以创建工作组、与网络屮的其他计算机共享资源,但不能使用活动目录提供的任何服务 域控制器用于冇放活动目录数据库,是域屮必须要有的,而其他三种计算机则不是必须要有的，也就是说,最简单的域可以只包含