AD 安全入门：拥有 DCSync 权限的非默认安全主体

DCSync 攻击者伪装域控制器，通过 DRS 协议直接从 DC 拉取密码哈希，无需在目标上执行代码，可绕过传统审计。文章讲解非默认 DCSync 权限的排查与防护。

发布 Invoke-DCSync PowerShell 脚本，封装 Mimikatz 的 DCSync 功能：伪装域控制器向真实 DC 发起目录复制同步请求，无需登录域控即可导出域账户哈希，若启用可逆加密 GPO 还能直接获得明文密码。

需尽快发现并修复的 7 个 Active Directory 错误配置，从持有 DCSync 权限的非默认主体到 AdminSDHolder 权限篡改等，每项均给出检测要点与修复步骤。

拿下本地管理员后，下一站是 Domain Admin。本篇覆盖破解 LM 哈希、复用的服务账户口令，以及捕获活跃 Domain Admin 会话等手法。

关于域控制器（DC）上该装什么软件，网上一直疑问不断：该部署哪些角色？哪些应用是必需的？要回答这些问题，得先想清楚 DC 的本职——它唯一的目的就是控制域，承载 ADDS，其余一切都应围绕这一原则做减法。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。