哈希传递攻击防御：AD 安全入门

作者分享一次授权渗透测试：在拿下某海外电信企业一台 ASP.NET 服务器的 RCE 后，上传 webshell 提权至 SYSTEM，用 mimikatz 抓取内存凭据，再利用管理员密码复用与 Hashcat 爆破 RDP 实现横向渗透，说明真实评估中 RCE 的价值在于证明业务影响，而非只跑 whoami、ifconfig。

Pass the Hash 允许攻击者直接用窃取的 NT 哈希完成认证，无需破解或知晓明文密码，从而隐蔽地横向移动。文章以 Cobalt Strike 与 Mimikatz 为例演示攻击流程，并给出检测与防御建议。

Overpass the Hash 将捕获的 NTLM 哈希兑换为 Kerberos 票据，建立完整认证会话，威力超越 Pass the Hash。文章详解攻击流程与检测、防御。

保护 Tier Zero 依然关键，但身份风险早已超出核心目录范围：攻击者利用合法凭据与信任关系横向移动，目标直指备份恢复基础设施、受监管数据和关键业务负载。攻击路径管理（APM）可帮助安全团队持续映射身份关系、识别高影响关键节点并在混合环境中压缩攻击路径。

发布 Invoke-DCSync PowerShell 脚本，封装 Mimikatz 的 DCSync 功能：伪装域控制器向真实 DC 发起目录复制同步请求，无需登录域控即可导出域账户哈希，若启用可逆加密 GPO 还能直接获得明文密码。

发布 Invoke-MassMimikatz-PsRemoting 脚本：结合 SPN 服务发现、PowerShell Remoting 与 Invoke-Mimikatz，自动定位开启 WinRM 的域内主机并批量收集凭据，支持替代凭据与非域机器发起。