DCSync 攻击案例剖析：当域控同步权限沦为凭据窃取工具
说真的,每次聊到 DCSync 案例，我都忍不住想多唠叨几句，这玩意儿在红队圈子里火了好多年了，可直到今天，我还是能在不少企业的域环境里看到它的影子——你说气不气人？明明是一个设计初衷完全合法的功能，硬是被攻击者玩成了“一键导出域内所有密码哈希”的利器，今天这篇文章，我就结合几个真实感很强的 DCSync 案例，跟大家掰扯掰扯它到底是怎么回事、为什么这么危险、以及我们该怎么防，别急，慢慢往下看，保证干货满满。
先搞明白：DCSync 到底是个啥？
哎,先别被这个名字唬住，DCSync 其实不是什么神秘的黑客工具，它模仿的是域控制器之间正常的复制行为，你想啊，域环境里有多台域控对吧？它们之间要同步数据，靠的就是 DRSUAPI 这个协议里的 DsGetNCChanges 调用，问题就出在——只要一个账户被授予了“复制目录更改”相关的权限（Replicating Directory Changes、Replicating Directory Changes All），它就能像域控一样，向真正的域控“索要”用户凭据数据，包括 NTLM 哈希、Kerberos 密钥等等。
我第一次深入研究 DCSync 案例 的时候，心里就一个念头：这权限设计也太“大方”了吧？攻击者根本不需要登录到域控上，也不需要跑什么恶意程序，只要有一个具备复制权限的普通账户，配合 Mimikatz 的 lsadump::dcsync 命令，就能把 krbtgt 的哈希给拉下来，拿到 krbtgt 哈希意味着什么？黄金票据啊朋友们！整个域基本就沦陷了。
几个让人后背发凉的 DCSync 案例
被遗忘的“服务账户”
我印象特别深的一个 DCSync 案例，发生在某家中型制造企业，攻击者最初只是通过钓鱼拿到了一台普通办公机的权限，按理说离域控还远着呢，但他们在内网横向移动时，发现了一个几年前创建的服务账户，密码从来没改过，—重点来了——这个账户居然被授予了“复制目录更改 All”的权限，为啥？据说是当年部署某个备份软件时，厂商工程师图省事直接给的，结果呢？攻击者用这个账户执行 DCSync，几分钟内导出了全部域用户哈希，接着伪造黄金票据，悄无声息地控制了整个域，整个过程，域控的日志里只留下几条看似正常的复制请求，安全团队压根没察觉，你说可怕不可怕？
Exchange 服务器的“意外之喜”
还有一个 DCSync 案例 特别典型，某公司的 Exchange 服务器被拿下后，攻击者发现这台机器所在的组竟然继承了高权限——原来是早些年为方便 Exchange 读取 AD 信息，管理员把 Exchange Windows Permissions 组加进了有复制权限的 ACL 里，得，又是熟悉的剧本：DCSync 一跑，域内凭据全到手，这个案例告诉我们啥？权限继承和组嵌套这东西，真得定期捋一捋，不然哪天被人“顺藤摸瓜”了都不知道。
红队演练里的“教科书操作”
当然啦,也不是所有 DCSync 案例 都是坏事，在一次授权的红队演练中，我们团队就用了 DCSync 作为关键一环，拿到一个具备复制权限的账户后，直接用 Mimikatz 同步 krbtgt 哈希，然后构造黄金票据，轻轻松松拿下了域管权限，客户看完报告后直拍大腿：“原来我们域里藏着这么个后门！”后来他们痛定痛改，清理了一大批过度授权，你看，演练里的 DCSync 案例 反而成了推动安全整改的催化剂，这事儿还挺有意义的。
为什么 DCSync 案例屡禁不止？
说白了,根子还是在权限管理上，很多企业压根不知道谁拥有“复制目录更改”权限——这权限藏在 ACL 深处，普通的管理界面根本看不到，再加上历史遗留问题、第三方软件要求、管理员图省事……一来二去，过度授权就成了常态，更麻烦的是，DCSync 流量走的是正常的 RPC 协议，和域控间复制几乎没区别，传统的流量检测很难分辨，所以啊，光靠边界防护是不够的，得从权限治理入手。
防御建议：别让下一个 DCSync 案例发生在你身上
- 定期审计复制权限：用 PowerShell 或 AD 审计工具，把拥有
Replicating Directory Changes和Replicating Directory Changes All权限的账户全揪出来，非必要的立刻删掉。 - 监控异常复制请求：重点盯非域控机器发起的
DsGetNCChanges调用，尤其是针对 krbtgt 的请求，发现即告警。 - 管好高权限组：
Domain Admins、Enterprise Admins、Administrators这些组，成员越少越好，还得定期复核。 - 启用高级审计：开启目录服务访问审计，把 4662 事件用起来，谁在“同步”一目了然。
好了,絮絮叨叨说了这么多，其实就是想让大家对 DCSync 案例 多上点心，这技术本身不复杂，可怕的是背后那些被忽视的权限漏洞，希望今天分享的这几个 DCSync 案例 能给你提个醒——赶紧去查查你们域里的复制权限吧，说不定“惊喜”就在那儿等着呢！