新研究:在恶意主机上检测 DCShadow

DCShadow 原理剖析：借助 Mimikatz，任意 Windows 服务器可冒充域控制器，把变更直接注入 AD 复制流——绕过 Windows 安全事件日志，SIEM 与多数变更审计工具均无法察觉，且无补丁可堵、无配置可关。

防御 DCShadow（下篇）：测试仅限隔离实验环境；通过 PAM 严控并监控特权访问；重点监控 AD Sites and Services——DCShadow 注入的变更不进安全日志，但其在配置分区（CN=Sites,CN=Configuration）注册服务器对象的痕迹可被 SIEM 捕获并及时告警。

演示在 SQL Server 中创建、导入、导出并修改 CLR 程序集，实现执行系统命令、提权与持久化，并新增 PowerUpSQL 函数把 CLR 攻击批量铺开到 Active Directory 环境。

讲解利用 SQL Server 的 DDL、DML 和登录触发器维持访问权限的三种手法，配套实验环境与检测建议，并将 Get-SQLPersistTriggerDDL 加入 PowerUpSQL，红蓝双方皆可参考。

分析为何 SQL Server 是常被忽视的持久化载体：启动存储过程在服务重启时自动执行，且以服务账户（常为 LocalSystem）身份运行、难以用 FIM 监控，文章涵盖检测、审计、清除与 PowerUpSQL 自动化。

发布 Invoke-DCSync PowerShell 脚本，封装 Mimikatz 的 DCSync 功能：伪装域控制器向真实 DC 发起目录复制同步请求，无需登录域控即可导出域账户哈希，若启用可逆加密 GPO 还能直接获得明文密码。