AD（Active Directory） 第三部分-组策略

4.网安大厂面试题合集

5.红蓝对抗实战技术秘籍

6.网络安全基础入门、Linux、web安全、渗透测试方面视频

# 5、组策略刷新间隔

刷新间隔定义了特定域计算机或服务器从域控制器请求组策略更新的时间，以确保复制任何组策略中的更改。默认刷新间隔为 90 分钟，并为每台计算机/服务器添加了一个随机偏移间隔，以防止所有域计算机同时从 DC 请求组策略更新。将在本系列的后面部分讨论有关 GPO 的更多信息。

# 6、

是AD中最重要的网络共享之一，因为它存储组策略模板并默认在域控制器上共享。所有域计算机都访问此共享以检查域策略。它的默认位置是域控制器中的 %%\。网络上的位置是 \。

一个文件夹由以下部分组成：

# （策略文件夹）

策略文件夹包含所有 GPO。每个 GPO 的文件夹名称与该 GPO 的GUID相同。

以下是 中 文件夹的组成：

DFSR(分布式文件系统复制)是文件夹复制的默认复制机制，复制由DFSR完成。

# 7、组策略首选项

微软引入了一项称为“组策略首选项”的重要功能，可帮助在创建计划任务、更改所有工作站上的本地管理员密码等场景中存储和使用凭据。这对管理员非常有帮助，因为它提供了一种自动化机制（而不是借助脚本来完成），其中密码不会像脚本那样以明文形式保存，而是以 AES-256 位加密的形式存储在 目录的xml 文件中。但后来微软在他们的 MSDN 门户上发布了私钥，允许解密存储在这样创建的 xml 文件中的任何密码。

由于域中每个人都具有对的读访问权限，因此只需在XML文件中找到并解密密码即可。

的 GPP- 工具可以在 策略目录中的xml中搜索 字段，并使用 之前发布的密钥对其进行解密。

项目：

尽管微软后来发布了补丁，并禁用了像这样输入密码的选项，但如果管理员不删除XML文件，这个问题仍然存在，而且密码在很多时候都有效，所以这是一个有效个攻击方法。

后来，微软使用 LAPS（本地管理员密码解决方案）来更改本地管理员密码。

最佳实践：

# 8、在域中查找GPO

要检查域中的所有 GPO，可以使用以下命令：

PS C:UsersAdministrator> Get-GPO -All | Select DisplayName
DisplayName
-----------
Default Domain Policy
Default Domain Controllers Policy

# 查看GPO的设置

Get-GPOReport -Name "" -Path  -ReportType ""

可以看到XML格式的策略定义，比如GPO在启用防火墙规则或运行脚本等情况下会做什么：

    1
    1
    true
    
      
        
          
            541
          
        
        
          2.29
          Allow
          Allow WinRM port 5985 
          In
          5985
          6
          true
        
      
      Windows Firewall
    
    
      
        false
      
      Registry
    
  
  
    1
    1
    true
  

在上面的配置中，我们可以看到它启用了防火墙中的一条规则。

# 查找配置错误的组策略

为了验证，首先创建了一个 GPO 并配置允许Ghost 用户可以编辑 GPO。

然后，我们获取GPO 的 cn：

并在此GPO上执行ACL检查，查看用户Ghost具有我们配置的权限。

这就是配置错误的组策略对象的例子。由于用户 ghost 具有编辑 GPO 的权限，因此可以在没有域管理员权限的情况下从该 GPO 编辑设置和完成一些其他任务。

# 9、说明

———END———
限 时 特 惠： 本站每日持续更新海量各大内部创业教程，永久会员只需109元，全站资源免费下载 点击查看详情
站 长 微 信： nanadh666