Auto-Dumping Domain Credentials using SPNs, PowerShell Remoting, and Mimikatz

发布 Invoke-DCSync PowerShell 脚本，封装 Mimikatz 的 DCSync 功能：伪装域控制器向真实 DC 发起目录复制同步请求，无需登录域控即可导出域账户哈希，若启用可逆加密 GPO 还能直接获得明文密码。

绕开 vssadmin.exe，直接用 WMI 的 Win32_ShadowCopy 类在远端域控上创建卷影副本并拷出 ntds.dit，同样的手法也能从 SAM/SYSTEM 提取本地哈希；需域管理员权限，可用于检验蓝队检测覆盖面。

任意域用户查询 AD 中的 SPN 记录即可枚举域内全部 SQL Server（含实例名与端口），无需高噪音的发现扫描；NetSPI 发布的 Get-SQLServerAccess PowerShell 模块可进一步自动测试每个实例的可访问性与攻击面。

保护 Tier Zero 依然关键，但身份风险早已超出核心目录范围：攻击者利用合法凭据与信任关系横向移动，目标直指备份恢复基础设施、受监管数据和关键业务负载。攻击路径管理（APM）可帮助安全团队持续映射身份关系、识别高影响关键节点并在混合环境中压缩攻击路径。

作者分享一次授权渗透测试：在拿下某海外电信企业一台 ASP.NET 服务器的 RCE 后，上传 webshell 提权至 SYSTEM，用 mimikatz 抓取内存凭据，再利用管理员密码复用与 Hashcat 爆破 RDP 实现横向渗透，说明真实评估中 RCE 的价值在于证明业务影响，而非只跑 whoami、ifconfig。

Kevin Robertson 总结攻击者视角下利用 Active Directory MachineAccountQuota 的十条规则：默认低权限用户可添加 10 个机器账户，结合 Powermad 与 Kerberos 非约束委派等场景可用于攻击，防御上建议将 MAQ 设为 0。