DCSync 攻击详解

拥有 DCSync 权限的非默认安全主体可借 DRS 协议冒充域控提取密码哈希，或致全域失陷。文章解析攻击原理、复制权限误配风险与排查方法。

发布 Invoke-DCSync PowerShell 脚本，封装 Mimikatz 的 DCSync 功能：伪装域控制器向真实 DC 发起目录复制同步请求，无需登录域控即可导出域账户哈希，若启用可逆加密 GPO 还能直接获得明文密码。

关于域控制器（DC）上该装什么软件，网上一直疑问不断：该部署哪些角色？哪些应用是必需的？要回答这些问题，得先想清楚 DC 的本职——它唯一的目的就是控制域，承载 ADDS，其余一切都应围绕这一原则做减法。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

基于 2025 年多场 AD 安全评估，Semperis IFIR 团队总结出十大反复出现的风险：间接 DCSync 路径、遗留特权组滥用、ADCS 配置不当、陈旧服务账户等，并解析攻击者的利用方式。

NTDS.DIT 是 AD 的核心数据库，存储全域密码哈希；攻击者一旦提取即可离线破解或直接用于 Pass the Hash，进而完全控制网络。文章介绍检测方法与 Tier 0 加固等防御措施。