T1003.006: DCSync
摘要
攻击者可能通过滥用 Windows 域控制器的应用程序编程接口（API）(Citation: Microsoft DRSR Dec 2017) (Citation: Microsoft GetNCCChanges) (Citation: Samba DRSUAPI) (Citation: Wine API samlib.dll)，使用一种称为 DCSync 的技术模拟来自远程域控制器的复制过程，从而访问凭据和其他敏感信息。 Administrators、Domain Admins 和 Enterprise Admin 组的成员或域控制器上的计算机账户能够运行 DCSync，从 Active Directory 中拉取密码数据 (Citation: ADSecurity Mimikatz DCSync)，其中可能包含 KRBTGT 和 Administrators 等潜在有用账户的当前和历史哈希。随后这些哈希可用于创建[黄金票据](https://attack.mitre.org/techniques/T1558/001)以用于[传递票据](https://attack.mitre.org/techniques/T1550/003)(Citation: Harmj0y Mimikatz and DCSync)，或如[账户操纵](https://attack.mitre.org/techniques/T1098)中所述更改账户密码。(Citation: InsiderThreat ChangeNTLM July 2017) DCSync 功能已被包含在 [Mimikatz](https://attack.mitre.org/software/S0002) 的 "lsadump" 模块中。(Citation: GitHub Mimikatz lsadump Module) Lsadump 还包括 NetSync，它通过旧版复制协议执行 DCSync。(Citation: Microsoft NRPC Dec 2017)
来源归属
来源：MITRE ATT&CK · 置信度：high
平台
- Windows
战术
凭据访问
参考来源
- https://attack.mitre.org/techniques/T1003/006
- https://github.com/gentilkiwi/mimikatz/wiki/module-~-lsadump
- https://adsecurity.org/?p=1729
- https://adsecurity.org/?p=1729
- https://msdn.microsoft.com/library/cc228086.aspx
- https://msdn.microsoft.com/library/cc237008.aspx
- https://msdn.microsoft.com/library/dd207691.aspx
- https://msdn.microsoft.com/library/cc245496.aspx
- https://wiki.samba.org/index.php/DRSUAPI
- http://www.harmj0y.net/blog/redteaming/mimikatz-and-dcsync-and-extrasids-oh-my/
- https://blog.harmj0y.net/redteaming/mimikatz-and-dcsync-and-extrasids-oh-my/
- https://blog.stealthbits.com/manipulating-user-passwords-with-mimikatz-SetNTLM-ChangeNTLM
- https://strontic.github.io/xcyclopedia/library/samlib.dll-0BDF6351009F6EBA5BA7E886F23263B1.html