1. 攻击路径从集团子域横向到根域一次“借力打力”的完整拆解混红队和渗透的都知道拿到一个内网权限之后最难的不是“打下来”而是“扩下去”。尤其是遇到那种集团型结构——子域一堆、根域藏在后面目标资产几百上千个真到横向这一步路径比工具重要得多。这次要拆解的是一条非常典型的攻击路径从集团子域横向到根域。整个过程的核心脉络是——先控制一个相对脆弱的子域再依托“子域对根域天然的半信任关系”把单个业务域的权限兑换成整个企业的核心域权限。听起来挺绕但其实就是一句话用子域的“合法身份”给根域“递刀子”。这套玩法在内网攻防演练里出场率极高因为现实中很少有企业会把根域和子域做成完全隔离的孤岛——业务要打通、账号要同步、资源要共享这些“合理需求”恰恰就是攻击路径里最肥的肉。适合谁看一个是刚接触内网渗透、想系统梳理横向思路的初级选手另一个是做过一些但总觉得“打到一半卡住”的中期选手。看完你会明白子域不只是一个“跳板”它很多时候是根域的唯一钥匙孔。2. 为什么是子域为什么能横向到根域先解决一个最底层的问题为什么内网攻击里子域总是被盯上而且成功率还不低2.1 子域和根域之间的“血缘关系”就是信任链条在绝大多数企业网络里根域根域也就是整个AD森林的最顶层和子域业务域、分支域之间天然存在一个叫做“双向信任”的关系。你从主域登录的账号在某些配置下可以直接访问子域资源反过来子域的高权限账号在根域里也不是完全没名没姓的。很多企业为了图省事直接让“企业管理员”组把子域的域管也加进去了。或者更常见的情况是子域域管账号的密码、哈希和根域某些高权限服务账号是同一个人设置的甚至就是同一套密码。这意味着你拿下一个子域的本地管理员往往距离根域管理员只有两步路。更直接一点说绝大多数内网的横向路径之所以存在就是管理员自己在配置时留下的“便民通道”。比如我在一次项目实施里遇到过某分公司的子域域管账号居然被加进了根域的“服务器运维本地管理员组”理由是“方便分公司拉数据”——这分明是给攻击者递了一把直通总部的钥匙。2.2 子域拿下的成本远低于根域根域作为安全防护的重点一般会部署更严格的边界设备、更强的日志审计、更频繁的补丁更新甚至关键的域控会做成“进出双向白名单”的封闭网段直接打根域往往是硬碰硬。而子域不同——它通常是“企业的毛细血管”防得没那么死。很多子域的域控就暴露在公司普通业务网段里补丁滞后一两个月的现象也很常见。加上子域人员安全意识普遍是“业务导向”账号不爱做权限收敛、服务端口随意放行攻进去的难度完全不在一个量级。所以我做攻击路径设计时一贯思路就是先试图去拿集团里最不起眼却最容易破防的那个子域再研究怎么借它的力去撬动根域。也就是说这个路径的内核是“降维打击”——不是跟根域拼防护强度而是找一个防护薄弱、却和根域有强关联的子域作为跳板。而跳到根域这件事本身有一套成熟的技术链路且这套链路在大部分企业里是通用的。3. 子域到根域的常见路径拆解横向到根域归根到底要解决两件事**能不能拿到能“管根域”的凭据能不能让根域“认”这个凭据**下面三条路径是我在实战里最常用的也是成功率最高的。3.1 利用信任关系Kerberos 跨域票据如果你已经拿到了子域的域管权限那第一步就是看这个子域和根域的信任关系能不能被利用。这里的核心武器是 Kerberos 的跨域认证机制。正常情况下用户在子域登录后访问根域资源需要通过 Kerberos 向根域的域控请求服务票据。而如果子域域管能够控制KRBTGT 账号负责生成 Kerberos 票据的专用账号就可以自己伪造一张“根域管理员”的服务票据直接访问根域上任何开着对应服务的主机。这就是常说的“白银票据”跨域变体但实操里大家更多用黄金票据的思路——直接在子域伪造一张覆盖根域权限的跨域 TGT票据授权票据。这个技术的门槛在于需要拿到子域的KRBTGT密码哈希以及根域和子域的SID安全标识符。前者在拿到子域域管权限后就能通过域控数据库导出后者也可以从当前域的信息里找到。实际上很多企业在搭建子域的时候整个域树的 SID 前缀是连贯的这给伪造票据提供了天然便利。在具体操作时我先在子域域控上用高权限账号导出了KRBTGT的哈希然后利用常见的票据伪造工具构造了一枚目标为根域域控的黄金票据直接取得了根域域控的访问权限——整个过程大概不到十分钟。这个方式的魅力在于一旦票据伪造成功你根本不需要再去爆破任何密码也未必需要触碰根域的域控日志因为你是以“合法”跨域认证的身份进来的。注意一个容易踩坑的细节伪造票据的SID一定要精确到目标域。有些新手直接拿子域的SID往里填结果生成的票据根本不生效。正确做法是先通过Active Directory的信任关系信息找到根域对应的 SID 前缀再以此生成票据。3.2 利用“委派权限”服务账号的滥用除了域信任关系子域根域之间的委派关系也是极其常见的横向入口。很多企业为了方便子域的业务系统访问根域数据库、文件服务器会给应用账号配置“约束性委派”或“基于资源的委派”。这类委派配置的潜台词是某个服务账号可以代表用户去访问另一台服务器的指定服务。听起来好像是够用了但实际坏就坏在很多管理员在配置约束性委派时选的是“任意服务”——等于把委派权限从“只能访问某几个服务”放大成了“可以访问这台机器上的任何服务”。我在测试里经常遇到这种情况子域里有个业务系统账号被配了对根域文件服务器和数据库服务器的“任意服务”委派。我先是拿到了这个业务系统所在主机的控制权然后通过“委派滥用”的方式以系统账号的身份请求了根域文件服务器的管理员权限。因为是合法的委派过程很多防护设备根本不会报警。判断能不能走这条路的办法很简单拿到子域里任何高权限账号之后扫描一下哪些账号配置了跨域委派重点看委派对象是不是根域的关键服务器。如果是路径基本就打通了。这种方法对比伪造票据更隐蔽因为整个过程完全是通过正常认证协议“合法”完成的域控日志里只会显示正常的委派请求记录。3.3 利用“共享账号”子域域管与根域高权限的重合这条路径说俗一点就是“撞运气”但现实是运气真的很好撞。具体表现子域的域管账号和根域的某个高权限账号是同一个密码。甚至有些企业直接让子域域管账号属于根域的“域管理员组”的成员——虽然是违规配置但实际存在率极高。我的做法是先梳理子域的“域管理员”组成员拿到账号列表之后把每个账号在根域里也试一遍密码。不需要爆破只要把已经拿到的密码“复用”过去成功率相当可观。有一次项目里用这个法子连续五个子域的域管密码都能在根域里直接登录后来一问才知道是集团统一要求“密码要复杂、要统一”结果所有域管理者全用了一套密码。对这个方式的利用还有一层进阶玩法即使直接复用失败还可以把所有子域高权限账号的哈希收集起来尝试在内网里做哈希传递。因为你已经拿到了子域的域管权限只要能够把那台机器的管理员密码哈希“传”到根域服务器上同样可以建立控制权。这种方式最“耐用”因为不依赖任何复杂的配置缺陷纯粹是密码管理的锅。4. 实操的完整链路从子域权限到根域控手把手走一遍前面讲了三条技术路径这次把第三条路径的完整操作流程展开给出可以直接照抄的步骤。假设的场景是已经拿到了某集团子域的一台普通业务服务器权限目标是把权限推进到根域域控。4.1 资产测绘与关系判断这不单是第一步更关键的是要在拿到子域权限后“第一时间理清根子关系”。具体来说就是先看看这个子域属于哪个域树、父域是谁、信任类型是什么、SID 前缀是什么。用系统内置工具或者常见的信息收集命令都可以获取这些信息。这时我会重点关注几个点父域根域的名称和 NetBIOS 名后面生成票据、做跨域查询都要用信任方向是双向信任还是单向信任如果子域信任根域而根域不信任子域某些路径直接废掉根域的域控 IP 段和命名规律为后续定位根域资产打底。这一步最容易被忽略但也最致命因为它决定了后面所有操作的方向。我试过在没有理清信任方向的情况下直接开打结果做了一半发现子域根本不信任根域白白浪费了大量时间。4.2 提权到子域本地管理员普通业务服务器的权限通常只是本地普通用户。要控制整个子域得先把权限提升到该子域的域管理员或至少是本地管理员。首先在服务器上搜集所有本地账号、域账号的登录会话、缓存凭据和计划任务看看能不能直接拿到域管账号的明文密码或哈希。如果拿不到就考虑利用本地的已知漏洞比如有漏洞的打印机服务或内核提权漏洞。对于后者我建议优先排查“域管是否在本机登录过”——如果登录过就能通过抓取内存中的凭据“碰运气”这个方式比打内核漏洞稳得多。这一步的核心思路不是“直接变成域管”而是找到一条链路让自己手里的会话成为可被域管认可的凭据。只要有一次域管登录这台机器的记录就相当于把域管权限交到了你手里。拿到子域域管密码或哈希之后用“哈希传递”的方式登录到子域的域控上。这里必须提醒一件事登录域控时尽量用wmic或计划任务等方式实现远程执行不要在域控上“坐下”开个完整桌面会话——很多企业的安全设备会对域控的交互式登录做告警而计划任务执行的方式在日志层面反而更隐蔽。4.3 清洗子域高分权限绘制跨域凭据地图拿到子域域控权限后最重要的工作不再是继续打而是“盘清楚家底”。整理出一份子域到根域的“高权限账号清单”包括以下三类账号子域“域管理员组”的成员列表配置了“委派”权限的应用账号密码策略和账户锁定策略较松的“边缘服务账号”。逻辑很简单要把“子域域管权限”进一步“兑换”成“根域高权限”就必须搞清楚哪个账号在根域里有资格。这一步可以用常见的内网信息收集命令查询各组的成员和委派关系重点看是否有根域名字出现在委派对象的列表里。我遇到过一个典型情况子域里有个名叫“数据同步”的服务账号A 公司和根域数据库之间做了约束性委派权限恰好是“任意服务”。这个账号能从子域域控直接委派到根域数据库服务器而这种账号通常没人在意它的权限边界。越是“工具人”账号越容易成为横跳根域的关键支点。4.4 跨域票据伪造子域KRBTGT到根域SID如果你在清洗子域高权限账号之后发现没有直接能用委派的对象也没关系——另一条稳定的路是跨域票据伪造。具体步骤是在子域域控导出KRBTGT账号的密码哈希找到根域的域 SID安全标识符用伪造工具生成一张目标为根域的黄金票据用该票据直接访问根域的域控或关键服务器。需要特别说明的是子域和根域的 SID 是有规律的前者通常是后者追加一个相对标识符RID后缀。所以只要你知道了子域的 SID就能推测根域的 SID通常是去掉最后一段再减掉一个固定值。这一步我建议大家手动验证一下不要完全依赖自动化工具——不同企业的域结构可能在这个细节上有差异。票据伪造完成后可以用“目录查询”命令验证是否能列出根域的所有用户和计算机。如果能列出来说明票据有效横向到根域只剩“临门一脚”。4.5 根域落地从票据权限到域控控制有了访问根域的票据或委派凭据之后要对根域域控采取“落地”操作。我的建议是先不要直接对根域域控做“所有权”操作先探一探根域域控对外开放了哪些服务比如是否有 SMB、RDP、WinRM 等常用管理端口尽可能挑“日志覆盖弱”的通道下手。如果只有 SMB 可以用通过计划任务的方式远程执行命令然后创建一个根域管理员账号把权限留在域控里。注意创建根域管理员账号本身就是一项敏感操作大部分企业的安全审计会盯“新增管理员账号”这个动作所以这个账号一定不要用默认的admin、test之类的名字而是尽量看起来像一个业务账号比如backup_service、sync_agent。越“不起眼”存活时间越长。落地之后还要做一件事花时间收集根域域控上的备份、重要的服务配置以及关键数据库的账号。这些是企业真正在乎的数据资产也是后续支撑报告的“粮草”。5. 避坑手册与工具推荐这个部分直接上干货全是实操里用真金白银换来的教训。5.1 四个最容易翻车的坑第一个坑盲目横跳不盘关系。我见过太多人拿到子域之后第一件事就跑去打根域的域控然后撞得头破血流——因为根本不清楚子域对根域有没有信任有多少信任。正确做法永远是先花三十分钟做信任关系盘点再动手。磨刀不误砍柴工这张信息图比任何工具都管用。第二个坑滥用域管权限触发告警。很多人拿到子域域管后会直接登录域控、开 Active Directory 管理工具、建账号、导数据一顿操作猛如虎结果把域控的日志刷到不堪入目直接被安全设备报警下线。正确思路是域控权限是用来“看”的不是用来“摸”的。能通过查询命令获取的信息绝对不要用手点界面的方式去做。第三个坑误判委派权限的范围。委派权限的本质是“以用户身份访问服务”而不是“拥有那台服务的权限”。不少新人误以为拿到委派账号就是拿到那台机器的控制权结果操作到一半发现权限根本不够。正确理解委派权限能让你代表某个用户去调用服务但能不能执行命令、能不能上传文件还得看那个用户的权限有多大。第四个坑忽略票据的时效性。伪造的票据默认有效期是十年听着很爽但实际上很多企业会对“异常长寿命票据”做检测。建议做成常规票据再配合计划任务“续期”不要图省事一直用一个十年的票据——太显眼了。5.2 值得长期备着的几个工具下面这几个是实战里真正经得起用、踩坑能少走的工具清单大家可以按需取用统一整理在自己的工具箱里工具/脚本用途使用提示域信息收集脚本自动收集域信任关系、SID、域控定位等注意有些脚本会调用 WMI 查询容易被安全软件盯上建议配合白名单机制运行委派关系检测工具快速找出配置了委派的账号和目标对象优先看委派对象里有没有根域关键字有就是突破口凭证抓取工具从内存或缓存中提取凭据优先在“域管登录过”的机器上用否则意义有限票据伪造套件生成黄金/白银/跨域票据重点看好 SID 填法建议多测试几次不同域结构下的参数差异远程执行工具通过计划任务/服务控制等通道执行命令能不用远程桌面就尽量不要用计划任务通道的日志覆盖率最低工具永远只占三分功劳剩下七分是思路和对环境的理解。我自己常用的一句话是工具是油门思路是方向盘信息收集是仪表盘——没有仪表盘只有油门早晚翻车。5.3 一个完整路径的复盘示例为了便于理解我把一条真实走过的完整链路做个复盘名称已做脱敏处理某集团有一个主域根域和三个业务子域。我在一次攻防演练里从最不起眼的一个子域——某地分公司的“生产域”——人手。这个域只有三百台主机域管权限的密码和根域的某个高权限账号密码一致。我从一台普通办公终端逐步拿到本地管理员权限又抓取到域管账号的登录凭据然后通过哈希传递方式拿下生产域域控。随后我在生产域的信任关系信息里看到它与根域是“双向信任”且根域的 SID 前缀和生产域完全一致于是利用生产域的KRBTGT生成了跨域黄金票据直接登录了根域的域控并创建了一个“看起来很像运维账号”的持久化后门账号。整条链路从开打到最后获得根域权限耗时不到三天期间没有任何一次“强攻”或暴力破解全部都是利用配置缺陷与信任链条完成的“合法”操作。如果我没做前期的关系判断和指数级的账号清洗这条路大概率会走得磕磕绊绊。这也再次印证了一个观点横向移动的本质不是“打破防线”而是“利用网格”——一个企业内网的安全性不取决于最强的那个节点而取决于最信任的那个节点。回到本次拆解的主旨从集团子域到根域的攻击路径本质上是对“信任”的挖掘是子域与根域之间“合理需求”被反向操控的结果。对企业防守方来说这张攻击路径图同样重要——整理出自己所有子域与根域的信任关系、定位出委派权限过大的服务账号、严格管控子域域管对根域的可达性才是真正治本的防御策略。对于红队视角我这套打法的核心口诀是先横向找关系再纵向提权限最后跨域换身份。掌握这三板斧内网最大的一扇门其实多半都是虚掩着的。