DCSync攻击：攻击者悄然窃取Active Directory密码

DCSync是针对ActiveDirectory（AD域）高危凭据窃取攻击，MITREATT&CK编号T1003.006，依靠域控制器原生复制协议MS-DRSR实施窃取。攻击者无需登录域控、不落地恶意程序、不读取NTDS.dit数据库，仅在自有终端模拟域控发起同步请求，就能远程拉取域内全部账户NTLM哈希、Kerberos密钥、krbtgt账号凭证，隐蔽性远超传统LSASS转储、卷影副本窃取手段。

该技术最早由Mimikatz工具武器化，如今勒索团伙、红队、高级威胁组织均将其作为域权限接管核心手段。普通杀毒、EDR很难拦截，流量被域控判定为正常同步行为，极易长期潜伏不被发现。

一、DCSync攻击底层原理与执行条件

1、攻击流程
攻击者绑定域控DRSUAPIRPC接口；
调用IDL_DRSGetNCChanges发起目录复制请求；
域控校验账号拥有复制权限后返回全部账户密码哈希；
攻击者获取krbtgt密钥，可制作黄金票据实现全域持久控制。

2.必备权限

执行DCSync需要两项核心扩展权限：DS-Replication-Get-Changes、DS-Replication-Get-Changes-All。默认仅域管理员、企业管理员、域控计算机账号具备权限，但大量企业因权限漂移，备份软件、AD同步服务、遗留迁移账号被误授予复制权限，成为攻击者突破口。

攻击者获取权限账户的常见路径：钓鱼攻陷域管、ADCS证书漏洞、NTLM中继、委派漏洞、ACL错误配置提权。

二、主流攻击工具与实操命令

Mimikatz（Windows）
plaintext
lsadump::dcsync/domain:corp.local/all/csv
一键导出全域账号哈希，单独拉取krbtgt密钥可伪造黄金票据。
2.Impacketsecretsdump（Linux渗透机）
plaintext
secretsdump.py-just-dccorp/adm:P@ss@192.168.1.10
纯远程无文件攻击，红队渗透高频使用。
3.DSInternalsPowerShell模块
管理员权限下调用AD原生复制API，伪装运维操作规避告警。

三、DCSync攻击核心入侵指标

1、日志指标（核心检测依据）
事件ID4662（目录对象操作），访问掩码0x100，日志携带复制GUID，且操作用户非域控计算机账号；事件5136监控域对象ACL变更，可提前发现恶意授予复制权限行为。

2、网络指标

非域控IP发起DRSUAPI（UUIDe3514235-4b06-11d1-ab04-00c04fc2dcd2）RPC流量。

3、行为指标
普通业务账号、工作站终端发起全域目录同步请求。

四、企业AD域DCSync完整防护方案

1、事前加固，缩小攻击面

定期使用BloodHound、PingCastle审计域根ACL，回收业务服务账号、老旧同步账号的复制权限；严格管控域管理员成员，推行0层特权工作站隔离，禁止域管账号日常办公登录。同时部署LAPS、gMSA托管服务账号，弱化NTLM协议风险。

2、事中实时检测
全局开启AD目录服务访问审计，SIEM配置4662告警规则；部署DefenderforIdentity、NDR网络流量检测，拦截非域控复制流量；使用DCSYNCMonitor持续监控异常同步行为。

3、事后应急处置
一旦捕获DCSync攻击行为，立即全域重置特权账号密码，连续两次轮换krbtgt账号，失效攻击者伪造的黄金票据；排查ACL是否新增恶意复制权限，全网溯源攻击源IP与入侵路径。

五、总结

DCSync利用AD原生信任机制实现无痕盗密，一次攻击即可造成全域身份体系泄露，衍生横向渗透、勒索加密、持久化后门等严重后果。企业防护不能仅依赖终端安全，需从权限最小化、日志审计、流量监控、应急处置四层构建纵深防御，定期开展域安全渗透审计，及时修复ACL配置漏洞，阻断DCSync攻击链路。