非约束委派详解

Semperis 与 TrustedSec 联合详解“钻石票”（Diamond Ticket）攻击：受 2015 年 Diamond PAC 研究启发的 Kerberos 票据伪造新手法，文章介绍 Rubeus 武器化实现、OPSEC 优势及检测建议。

非约束委派为何是 AD 最严重的安全缺口之一：它允许计算机保存用户 Kerberos 票据并冒充其身份，成为攻击者的显眼目标；禁用非约束委派可消除可信认证链上的薄弱环节。

保护 Tier Zero 依然关键，但身份风险早已超出核心目录范围：攻击者利用合法凭据与信任关系横向移动，目标直指备份恢复基础设施、受监管数据和关键业务负载。攻击路径管理（APM）可帮助安全团队持续映射身份关系、识别高影响关键节点并在混合环境中压缩攻击路径。

文章详解攻击者如何滥用 Active Directory 非约束委派（Unconstrained Delegation）实现域接管：诱导域控等高权限系统向已失陷主机认证以截获其 TGT，进而执行 DCSync、锻造 Golden Ticket 并完全控制域；防御上建议清查并停用非约束委派、在域控上禁用 Print Spooler 服务、限制高权限账户登录相关主机。

分析微软 LAPS 方案：将本地管理员口令存入 LDAP 的 ms-MCS-AdmPwd 属性并定期轮换，但若未按建议移除扩展权限，普通域用户即可明文读取这些口令，为横向移动提供便利。

定位运行 Domain Admin 进程主机的 5 种方法：先查本地，再向域控制器查询活动用户会话、扫描远程系统任务、枚举 NetBIOS 信息、用 PSExec 对远程系统喷洒令牌——这是迁移到 DA 进程窃取凭据的前提。