T1484.001: 组策略修改

摘要

攻击者可能修改组策略对象 (GPO) 以颠覆域的预期自由访问控制，通常意图提升域上的权限。组策略允许在 Active Directory (AD) 中集中管理用户和计算机设置。GPO 是组策略设置的容器，由存储在可预测网络路径 `\<DOMAIN>\SYSVOL\<DOMAIN>\Policies\` 中的文件组成。(Citation: TechNet Group Policy Basics)(Citation: ADSecurity GPO Persistence 2016) 与 AD 中的其他对象一样，GPO 具有与之关联的访问控制。默认情况下，域中的所有用户账户都有读取 GPO 的权限。可以将 GPO 访问控制权限（例如写访问）委派给域中的特定用户或组。 恶意 GPO 修改可用于实现许多其他恶意行为，例如[计划任务/作业](https://attack.mitre.org/techniques/T1053)、[禁用或修改工具](https://attack.mitre.org/techniques/T1685)、[入口工具传输](https://attack.mitre.org/techniques/T1105)、[创建账户](https://attack.mitre.org/techniques/T1136)、[服务执行](https://attack.mitre.org/techniques/T1569/002)等。(Citation: ADSecurity GPO Persistence 2016)(Citation: Wald0 Guide to GPOs)(Citation: Harmj0y Abusing GPO Permissions)(Citation: Mandiant M Trends 2016)(Citation: Microsoft Hacking Team Breach) 由于 GPO 可以控制 AD 环境中如此多的用户和机器设置，此 GPO 滥用可能衍生出大量潜在攻击。(Citation: Wald0 Guide to GPOs) 例如，可以利用公开可用的脚本（如 <code>New-GPOImmediateTask</code>）通过修改 GPO 设置来自动创建恶意[计划任务/作业](https://attack.mitre.org/techniques/T1053)，在此例中修改 <code>&lt;GPO_PATH&gt;\Machine\Preferences\ScheduledTasks\ScheduledTasks.xml</code>。(Citation: Wald0 Guide to GPOs)(Citation: Harmj0y Abusing GPO Permissions) 在某些情况下，攻击者可能修改特定用户权限，例如设置在 <code>&lt;GPO_PATH&gt;\MACHINE\Microsoft\Windows NT\SecEdit\GptTmpl.inf</code> 中的 SeEnableDelegationPrivilege，以实现对域具有完全控制的隐蔽 AD 后门，因为此时处于攻击者控制下的用户账户将能够修改 GPO。(Citation: Harmj0y SeEnableDelegationPrivilege Right)