如何用DSRM密码同步持久化域管权限

在获取到域控权限之后，如何将后续权限持久化？DSRM密码同步是一个值得关注的技术路线。直接进入正题，先看环境：

域控：Windows Server 2008 R2
域内主机：Windows XP

DSRM密码同步

这里用到的是系统安装域时内置的普通域账户——krbtgt，它专用于Kerberos验证。同步的核心思路就是让DSRM账户的密码与krbtgt账户保持一致。

需要注意的是，Windows Server 2008 必须安装KB961320补丁才支持DSRM密码同步，而Windows Server 2003完全不支持这一操作。

同步之后，用Mimikatz分别查看krbtgt用户和SAM中Administrator的NTLM值。如下图所示，两个账户的NTLM值完全一致——说明同步成功。

修改注册表允许DSRM账户远程访问

接下来要修改注册表，路径为：HKLM\System\CurrentControlSet\Control\Lsa，将DSRMAdminLogonBeha vior的值设置为2。注意，系统默认不存在此键值，需要手动添加。

使用HASH远程登录域控

在域内任意一台主机上，启动Mimikatz，依次执行：

Privilege::debug
sekurlsa::pth /domain:WIN2K8-DC /user:Administrator /ntlm:bb559cd28c0148b7396426a80e820e20

执行后会弹出一个CMD窗口（如下图右下角），这个CMD拥有访问域控的权限。作为对比，左下角是直接通过Ctrl+R启动的本地CMD，它没有权限访问域控。

一点说明

DSRM账户本质上是域控的本地管理员账户，并非域的管理员账户。因此DSRM密码同步操作并不会影响域的管理员账户。另外，在下一次进行DSRM密码同步之前，同步后的NTLM值一直有效。为保证权限持久化——尤其是在跨国域或拥有上百上千个域的大型内网中——建议在事件查看器的安全事件中，筛选事件ID为4794的日志，以此判断域管是否频繁进行DSRM密码同步操作。这一点值得持续关注。