綜合
綜合
本節將討論 Active Directory 中組策略，是 AD 重要元素之一。我們將介紹以下概念：
什么是 Active Directory 為什么組戰略需要使用組戰略來實現什么？創建團隊戰略的目的是集中管理整個過程Active Directory操作系統、用戶和計算機在域內。允許我們遵循這些策略GPMC(Group Policy Management Console)集中控制臺管理用戶和計算機設置。
輸入運行gpmc.msc可以打開GPMC
GPO(組戰略對象)包括組戰略設置和文件系統 Active Directory 策略設置相關文件描述。如上圖所示，組戰略對象容器下只有兩個GPO。如上圖所示，組戰略對象容器下只有兩個GPO。這兩個核心是在創建域時自動創建的GPO。
# Default Domain Policy(默認域策略)根據密碼策略，默認策略Kerberos域內所有用戶和計算機都定義了一組基本設置策略和賬戶鎖定策略。
# Default Domain Controllers Policy(默認域控制器策略)默認域控制器策略定義了域內所有域控制器的基本安全和審核設置。
組策略對象是一組組合并應用于計算機或用戶對象的策略。
# 3、Group Policy Management Editor(組戰略管理編輯器)輸入運行gpedit.msc組策略管理編輯器可以打開。可用于編輯組策略。如您所見，策略設置分為計算機配置和用戶配置兩類。
# 計算機配置若在計算機配置下指定GPO如果設置并應用于特定的計算機對象，則計算機對象將在計算機啟動和關閉時具有指定的安全設置、系統行為、應用程序設置和執行腳本，并登錄到應用程序中GPO計算機用戶無關。
# 用戶配置在用戶配置下定義的策略定義了特定的系統行為、應用程序設置、安全設置、應用程序分配和發布、用戶登錄和取消腳本和文件夾定位。為特定用戶定義策略的，將適用于用戶登錄的任何系統。
**注意：**計算機配置下定義的策略將涵蓋用戶配置下定義的策略。
創建 GPO 之后需要鏈接到一個或多個 AD 例如，鏈接到整個域或特定域的容器 OU(組織單位)生效。例如，如果您想創建一個小組策略來授予數據庫管理員團隊的所有成員訪問SQL所需共享文件夾的權限GPO必須只鏈接到DBAdmins OU。
# 4、常見的GPO使用不同類型的任務，如某些配置：
安全策略(如禁用 NTLM 身份驗證)和自定義策略(如限制普通用戶訪問命令提示符)IT策略，如限制對USB登錄驅動器的訪問和配置banner向用戶顯示法律通知等。例如，高級審計和合規策略， Windows 審計策略用于重要對象的審計，并在事件查看器中記錄建議 Windows 事件 ID 等。用于處理密碼噴射攻擊的域內復雜密碼策略。在多臺計算機/服務器上部署標準工具、映射網絡驅動器、登錄/注銷任務等自動化策略。【-全網最完整的網絡安全學習資料包與愛學習的你分享，關注我，私信回復獲取信息-1.從多個方向學習網絡安全路線2.全網最全CTF入門學習資料3.分享一線老板的實戰經驗筆記4.網安大廠面試題集合5.紅藍對抗實戰技術秘籍6.網絡安全基礎介紹，Linux、web視頻安全和滲透測試
# 5.組策略刷新間隔刷新間隔定義了特定域計算機或服務器從域控制器請求組策略更新的時間，確保復制任何組策略中的變化。默認刷新間隔為 90 每臺計算機/服務器增加一個隨機偏移間隔，防止所有域計算機同時從 DC 請求組策略更新。默認刷新間隔為 90 每臺計算機/服務器增加一個隨機偏移間隔，防止所有域計算機同時從 DC 請求組策略更新。本系列后面將討論相關問題 GPO 更多信息。
# 6、SYSVOLSYSVOL是AD其中最重要的網絡共享之一是存儲組策略模板，默認在域控制器上共享。所有域計算機都訪問此共享檢查域策略。其默認位置在域控制器中 %SYSTEMROOT%\\SYSVOL\\sysvol。網絡上的位置是 \\\\\\SYSVOL。
一個sysvol文件夾由以下部分組成：
腳本（即 GPO 引用的啟動腳本和文件，如 .bat、vbs 等)組戰略文件夾和模板(復制整個域)連接點(類似快捷方式。一個目錄可以指向不同的目錄)# SYSVOL Policies folder（SYSVOL戰略文件夾)SYSVOL 所有的戰略文件夾都包含在內 GPO。每個 GPO 以及文件夾的名稱 GPO 的GUID相同。
以下是 SYSVOL 中 Policy 文件夾的組成：
Machine 存儲GPO特定的計算機配置User 存儲GPO具體用戶配置GPT.INI 存儲GPO配置DFSR(復制分布式文件系統)SYSVOL默認復制機制的文件夾復制，SYSVOL復制由DFSR完成。
# 7.組戰略首選微軟引入了一個重要的功能，稱為組戰略首選，可以幫助存儲和使用所有工作站的當地管理員密碼，如創建計劃任務和更改。這對管理員很有幫助，因為它提供了一種自動化機制（而不是借助腳本），密碼不會像腳本那樣以明文的形式保存，而是以腳本的形式保存 AES-256 以位加密的形式存儲SYSVOL 目錄的xml 文件中。這對管理員很有幫助，因為它提供了一種自動化機制（而不是借助腳本），密碼不會像腳本那樣以明文的形式保存，而是以腳本的形式保存 AES-256 以位加密的形式存儲SYSVOL 目錄的xml 但后來微軟在他們的文件中。 MSDN 私鑰發布在門戶上，允許解密存儲在此創建中 xml 文件中的任何密碼。
因為域內每個人都有對的SYSVOL閱讀訪問權，所以只需要XML文件中找到cpassword并密碼。
PowerSploit 的 GPP-Password 工具可以在 sysvol 戰略目錄xml中搜索 cpassword 并使用字段 Microsoft 解密之前發布的密鑰。
PowerSploit項目：https://github.com/PowerShellMafia/PowerSploit
雖然微軟后來發布了補丁，禁止了這樣輸入密碼的選項，但如果管理員不刪除它XML這個問題仍然存在于文件中，而且密碼往往是有效的，所以這是一種有效的攻擊方法。
后來，微軟使用 LAPS(本地管理員密碼解決方案)更改本地管理員密碼。
后來，微軟使用 LAPS(本地管理員密碼解決方案)更改本地管理員密碼。
最佳實踐：對除系統管理員SYSVOL現有文件夾中有密碼GPP XML確保那里沒有這樣的文件。對于滲透測試者來說，最好的實踐是枚舉 SYSVOL 尋找戰略文件夾中包含的內容 cpassword 的 xml 文件。創造防御者的最佳方法是創造防御者 AD 誘餌包含密碼 xml 在有人訪問時，沒有鏈接到實際情況，審計策略 GPO 文件夾收到報警。這將在后續文章中詳細介紹。# 在域內搜索GPO
檢查域內的一切 GPO，可使用以下命令：PS C:\\Users\\Administrator> Get-GPO -All | Select DisplayNameDisplayName-----------Default Domain PolicyDefault Domain Controllers Policy
# 查看GPO的設置Get-GPOReport -Name "" -Path-ReportType ""
可以看到XML戰略定義格式，比如GPO在使用防火墻規則或操作腳本時會做什么：11true5412.29AllowAllow WinRM port 5985 In59856trueWindows Firewallfalse
