Windows 提权（二）：域管理员权限

在大型环境中开展内网渗透测试时，系统与漏洞数量庞大，如何为攻击排定优先级是一大挑战。本文讨论如何瞄准真正要害的系统。

从普通用户到本地 SYSTEM：本系列上篇梳理了十条实用的 Windows 本地提权路径，包括管理员遗留在文件与注册表中的明文凭据。

定位运行 Domain Admin 进程主机的 5 种方法：先查本地，再向域控制器查询活动用户会话、扫描远程系统任务、枚举 NetBIOS 信息、用 PSExec 对远程系统喷洒令牌——这是迁移到 DA 进程窃取凭据的前提。

NetSPI 的 Scott Sutherland 介绍如何安全地审计 Active Directory 弱口令：先识别域，再枚举域控制器、用户和密码策略，最后执行字典攻击。文中演示 ipconfig、nbtstat、Nmap 等工具的具体用法，并指出约九成环境至少存在一个弱口令或默认口令账户。

一位渗透测试员实测发现：Claude 会拒绝编写 LSASS 转储工具，而本地运行的 DeepSeek 及去审查版 Qwen 模型可轻松生成可用的 XOR 加密 minidumper，表明借助本地 AI 绕过 EDR 已相当容易。

将 Domain Admin 同步进 Entra ID 会让攻击者在攻陷本地 AD 后转向云端，并可通过密码回写反向渗透回本地。CIS 与 Microsoft 均建议特权管理员账号保持纯云（cloud-only）。