免责声明本文仅供授权渗透测试、红队演练、网络安全学习。未经过书面授权禁止在企业生产域环境执行任何攻击操作未授权域渗透属于违法行为。文中所有命令、攻击条件仅用于原理复现学习请勿直接在真实业务环境执行。目录1. 前言靶场环境 vs 真实 AD 环境巨大差异2. 基础底层坑点90% 复现失败根源2.1 Kerberos 时间偏移5 分钟硬性限制2.2 UAC 远程令牌过滤 LocalAccountTokenFilterPolicy2.3 SMB 签名强制导致 PtH、SMB 中继失效2.4 LDAP 签名、信道绑定 CBTLDAP 中继彻底失效2.5 RPC 安全策略 RestrictRemoteClients3. 经典攻击逐个拆解报错现象、失败原因、排查、绕过3.1 DCSync 攻击 Access Denied错误 84533.2 Kerberoasting 拿不到 TGS 票据返回空结果3.3 RBCD 资源基于约束委派写入失败无法设置 msDS‑AllowedToAct3.4 NTLM 中继攻击各种失败场景LLMNR、PetitPotam、PrinterBug3.5 Pass‑the‑Hash 哈希传递各种报错3.6 Pass‑the‑Ticket 票据导入成功但是访问资源失败黄金 / 白银票据3.7 委派攻击非约束委派、约束委派复现失败3.8 Zerologon CVE‑2020‑1472 复现失败常见坑3.9 Double Hop 双跳问题第二跳凭据丢失4. 域层面限制域功能级别、RODC 只读域控制器、机器账号配额4.1 域功能级别 DFL4.2 RODC 只读域控制器4.3 机器账号创建配额MachineAccountQuota5. 系统安全补丁带来的防护新版本 Windows 默认加固6. 工具层面坑点impacket 版本、代理 proxychains、格式复制错误7. 一套通用域攻击排错工作流遇到复现失败按顺序排查8. 红队实战启示靶场成功不等于实战可用9. 面试高频考点整理10. 全文总结了解网络安全首先要搞清楚下面这些前提一、网络安全黑客学习路线二、网络安全教程视频三、网络安全CTF实战案例四、网络安全面试题摘要很多同学跟着网上教程复现域渗透攻击教程上一步一步复制命令靶场跑的非常顺利换到自建环境或者模拟域环境直接报错DCSync 拒绝访问、Kerberoasting 拿不到票据、NTLM 中继完全失效、RBCD 无法写入属性、黄金票据导入之后访问域控报错、PtH 哈希传递失败。网上绝大多数文章只写攻击成功的流程不会写攻击生效的前置依赖条件、Windows 补丁限制、组策略加固、权限约束、网络配置坑点。本文把域渗透高频踩坑做完整汇总从基础网络时间、SMB/LDAP 签名、UAC 远程过滤、权限约束、域功能级别、系统补丁防护、靶场与真实环境差异逐个拆解 DCSync、Kerberoasting、RBCD、NTLM 中继、PtH/PTT、黄金白银票据、委派攻击、zerologon 等经典攻击失败原因给出报错现象、根因、排查命令、可行绕过思路同时整理通用排错方法论帮助大家遇到复现失败时快速定位问题。MITRE‑ATTCK 映射TA0008 横向移动TA0006 凭据访问T1003 凭据转储T1558 Kerberos 票据攻击T1557 NTLM 中继T1027 防护规避。1. 前言靶场环境 vs 真实 AD 环境巨大差异网上大部分域渗透教程、B 站演示视频全部运行在无加固靶场环境域控 SMB 签名关闭、LDAP 签名关闭LocalAccountTokenFilterPolicy1关闭 UAC 远程过滤没有安装任何安全补丁不存在 CVE 缓解防护普通用户默认可以创建 10 个机器账号没有 RPC 远程访问限制没有 SIEM、EDR 拦截机器时间完全同步防火墙全部放行所有端口。现实企业环境Windows Server2019 及以上、打全月度安全补丁之后很多经典攻击默认已经不能直接复现。很多新手遇到现象同样命令靶场通自建域直接报错就怀疑工具坏了、教程写错实际上是缺少攻击生效必须的前置条件。一个域攻击能够成功需要同时满足网络层端口可达防火墙放行系统层组策略、注册表没有开启对应加固权限层当前账号拥有对应 AD 对象 ACL 权限协议层签名、加密策略没有阻断攻击协议版本补丁层没有安装缓解该漏洞的安全更新时间层Kerberos 时间差小于 5 分钟。缺少任意一个条件攻击直接失败。2. 基础底层坑点90% 复现失败根源2.1 Kerberos 时间偏移5 分钟硬性限制Kerberos 协议设计客户端与 KDC 域控制器时间差必须小于 5 分钟否则全部 Kerberos 票据直接拒绝Microsoft …。现象黄金票据 ptt 导入成功使用票据访问域控直接报错KRB5KDC_ERR_CLOCK_SKEW_TOO_GREATKerberoasting 返回空所有‑k 参数的 impacket 工具全部认证失败。常见场景攻击机 Kali 虚拟机休眠之后虚拟机时间错乱和域控时间相差十几分钟靶场快照回滚域控时间停留在旧时间。排查命令#kali查看本机时间 date #和域控做时间同步 ntpdate 192.168.1.100注意NTLM 认证不受时间限制只有 Kerberos 全套攻击受时间约束。2.2 UAC 远程令牌过滤 LocalAccountTokenFilterPolicyWindows 默认策略本地管理员账号从网络远程登录会被 UAC 过滤得到受限令牌本地管理员权限被剥离域管理员账号不受这条策略影响。现象账号是目标机器本地管理员PtH/psexec/wmiexec 连接返回STATUS_ACCESS_DENIED本地登录本机管理员一切正常网络横向直接拒绝。根因注册表HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\SystemDWORDLocalAccountTokenFilterPolicy默认等于 0。0开启远程 UAC 过滤系统默认1关闭过滤远程登录拿到完整管理员权限坑网上很多靶场教程第一步就把这个注册表改成 1但是真实生产环境默认是 0。重要域账号不受这个注册表影响只有本机本地管理员账号才会触发。绕过思路优先使用域管理员账号做横向避开本地管理员拿到目标机器本地交互 shell修改注册表 LocalAccountTokenFilterPolicy1重启机器生效使用 RDP 本地控制台登录mstsc /admin绕过过滤。2.3 SMB 签名强制导致 PtH、SMB 中继失效SMB 签名SMB Security Signature服务器强制 SMB 签名开启之后impacket 传统 PtH 哈希传递、SMB NTLM 中继直接失效。三种状态0禁用1协商客户端支持就签名不支持就不签名靶场常用2强制必须签名。现象PtH 执行 psexec.py 返回STATUS_NOT_SUPPORTEDrelay 攻击到 445 完全没有效果。Windows Server 域控制器默认 SMB 签名是协商状态企业加固组策略改成强制签名之后SMB 层面 NTLM 中继彻底废掉。坑很多新手不理解PtH 不是万能目标开启强制 SMB 签名impacket 的 PtH 无法工作。排查目标 SMB 签名状态crackmapexec smb 192.168.1.100 --gen-relay-list out.txt #输出会显示 signing:True/False绕过思路中继攻击放弃 445转向中继 LDAP 389 端口优先切换 Kerberos 票据认证‑k 参数。2.4 LDAP 签名、信道绑定 CBTLDAP 中继彻底失效微软 KB 更新之后域控制器可以开启LDAP 服务器签名要求 LDAP 信道绑定 CBT。一旦强制 LDAP 签名NTLM 中继到 389 LDAP 直接失效ESC8 证书中继攻击直接废掉Microsoft。现象NTLMrelay 成功接收中继凭据但是 LDAP 绑定返回 8453 错误无法修改计算机对象属性。事件日志 ID2889代表未签名 LDAP 绑定被拒绝。LDAP 签名策略三个档位None / Negotiate / Require signing。Windows Server2025 全新部署LDAP 签名默认强制开启靶场大多是 Negotiate 或者 None 状态Microsoft …。真实企业现状现在很多企业已经部署 LDAP 签名强制网上大量 LDAP 中继教程已经无法直接复现。2.5 RPC 安全策略 RestrictRemoteClients注册表HKLM\SOFTWARE\Policies\Microsoft\Windows NT\RPC\RestrictRemoteClients值 2未经身份验证 RPC 客户端全部拦截。现象wmiexec、DCOM 远程调用超时拒绝PetitPotam RPC 强制认证失败。很多安全基线加固脚本会开启该策略靶场一般不会配置该项Microsoft …。3. 经典攻击逐个拆解报错现象、失败原因、排查、绕过3.1 DCSync 攻击 Access Denied错误 8453DCSync 不需要登录域控主机通过 AD 复制协议导出账号哈希。报错现象impacket‑secretsdump 执行 DCSync 返回[-] DRSGetNCChanges 8453 Replication‑access was denied。很多人误以为只要域管理员组就一定可以 DCSync其实需要两个扩展权限Replicating Directory ChangesReplicating Directory Changes AllDomain Admins、Enterprise Admins 默认拥有如果是普通账号即使加入域管理员ACL 被篡改或者 RODC 环境也会没有复制权限RODC 只读域控制器不支持 DCSyncRODC 不会存储 krbtgt 哈希在 RODC 上执行 DCSync 直接失败Microsoft …。排查BloodHound 查看账号是否拥有这两个复制权限。踩坑拿到普通服务器本地管理员不等于拥有 DCSync 权限很多新手混淆这点。DCSync 是域对象 ACL 权限不是机器本地权限。绕过拿到有复制权限账号或者登陆域控本机dump ntds.dit 本地导出哈希不需要 DCSync 权限。3.2 Kerberoasting 拿不到 TGS 票据返回空结果Kerberoasting 攻击原理请求注册了 SPN 服务账号的 TGS 票据离线爆破。现象GetUserSPNs.py 执行完毕输出为空没有拿到任何 TGS 票据。失败根因域内没有任何用户账号注册 SPN全部 SPN 注册在机器账号上Kerberoasting 针对用户账号 SPN机器账号 SPN 拿出来的 TGS 不能直接爆破账号没有读取 servicePrincipalName 属性权限AES 加密类型配置问题msds‑SupportedEncryptionTypes 限制 RC4时间差超过 5 分钟KDC 拒绝 TGS 请求。排查命令查找域内用户账号 SPNimpacket‑GetUserSPNs corp.local/user:pass192.168.1.100实战坑点很多现代域环境业务 SPN 全部注册给计算机账号Kerberoasting 直接没有猎物靶场环境会特意创建带 SPN 普通用户账号供复现。3.3 RBCD 资源基于约束委派写入失败无法设置 msDS‑AllowedToActRBCD 攻击条件攻击者对目标计算机对象拥有 GenericWrite/WriteProperty 权限才能够写入 msDS‑AllowedToAct 属性。现象执行 addcomputer 或者 rbcd 脚本报错Unable to set msDS‑AllowedToActLDAP 错误 50。失败原因账号没有目标机器对象 GenericWrite 权限最常见域控开启 LDAP 强制签名未签名 LDAP 修改被拒绝目标是域控机器账号域控计算机对象 ACL 做保护普通账号即使 GenericWrite 也被拦截域内机器账号配额为 0普通用户不允许新建计算机账号。很多教程直接演示前提环境已经给普通账号分配 GenericWrite 权限真实环境很难遇到。3.4 NTLM 中继攻击各种失败场景LLMNR、PetitPotam、PrinterBugNTLM 中继失败是复现最高频问题失败原因汇总目标 SMB 签名强制 → 445 中继失败切换 LDAP389域控制器开启 LDAP 签名 CBT → LDAP 中继也失效被诱导的机器账号对目标没有任何权限中继过来凭据权限低即使绑定成功也做不了修改防火墙拦截PetitPotam 使用的 RPC 端口被拦截无法强制认证Windows 新版本修复 PrinterBug、PetitPotam漏洞补丁已经打上无法触发强制认证跨域中继失败凭据来自 A 域机器中继到 B 域 DC跨域信任不支持。坑网上很多中继文章写的是未打补丁 2016 域控新版 Windows 很多强制认证漏洞已经被修复。3.5 Pass‑the‑Hash 哈希传递各种报错PtH 报错分类STATUS_LOGON_FAILURENTLM 哈希复制错误格式 LM:NTLMLM 为空必须写冒号:hashvalue很多人漏写冒号账号已经禁用、账号锁定STATUS_ACCESS_DENIED目标开启强制 SMB 签名使用本地管理员触发 UAC 远程过滤STATUS_NOT_SUPPORTED协议不支持SMB 签名强制。重要区分PtH 是 NTLM 认证PTT 票据传递走 Kerberos不受 SMB 签名限制。3.6 Pass‑the‑Ticket 票据导入成功但是访问资源失败黄金 / 白银票据现象mimikatz kerberos::golden /ptt 提示票据导入成功但是访问 \dc01.corp.local\c$ 直接拒绝。失败原因时间偏移攻击机时间与 KDC 超过 5 分钟黄金票据本地生成不会和 KDC 交互工具不会报时间错误但是访问资源直接失败域 SID 填写错误生成黄金票据的 SID 写错krbtgt 哈希复制错误白银票据指定 SPN 错误白银票据仅能访问填写的那一个服务例如 service:cifs 只能访问文件共享不能执行 DCSync LDAP 操作目标开启 SMB 强制签名使用黄金票据走 SMB 访问失败改用 LDAP 操作。白银票据高频坑很多新手生成白银票据之后以为拥有全部权限实际上只能访问单个 SPN 服务。3.7 委派攻击非约束委派、约束委派复现失败非约束委派 Unconstrained Delegation机器开启非约束委派用户登录该机器TGT 会缓存到 lsass 内存。复现失败现象即使机器开启非约束委派等待很久拿不到任何用户 TGT。根因必须有高权限用户主动登录这台开启非约束委派的服务器。靶场会模拟域管理员登录机器真实环境没有用户登录你拿到机器权限也得不到任何 TGT 票据。约束委派复现失败配置的 SERVICE_NAMESPN写错没有获取到该服务账号哈希域功能级别过低不支持约束委派。3.8 Zerologon CVE‑2020‑1472 复现失败常见坑Zerologon 漏洞条件目标域控 Netlogon 通道未打补丁。现象exp 脚本反复尝试全部返回 STATUS_ACCESS_DENIED无法重置机器账号密码。失败点域控已经安装安全补丁 CVE‑2020‑1472漏洞修复目标不是域控制器普通服务器DNS 解析错误脚本连接的不是 DC 机器新版 Netlogon 协议加固启用强模式。现在生产域控基本全部打补丁Zerologon 几乎只能老靶场复现。3.9 Double Hop 双跳问题第二跳凭据丢失经典场景已经拿到机器 A 的 shell在 A 机器执行 mimikatz 或者 impacket 工具横向访问机器 B访问被拒绝。原理登录 A 机器使用 NTLM 认证NTLM 不支持凭据委托第二跳没有用户凭据。很多新手疑惑本机 whoami 是域管理员但是从这台机器横向其他机器权限不足。解决办法使用 PTT在第一跳机器导入 kerberos 票据开启 CredSSP使用 runas /netonly。靶场教程很多直接给 kerberos 环境很少遇到双跳真实内网横向非常常见。4. 域层面限制域功能级别、RODC 只读域控制器、机器账号配额4.1 域功能级别 DFL部分 AD 攻击依赖域功能级别RBCD 资源基于约束委派最低域功能级别 Windows Server 2012如果域功能级别 2008RBCD 完全不能使用。很多人在 2008 功能级别域环境复制 RBCD 教程命令一直报错找不到原因。查看域功能级别 PowerShellGet‑ADDomain | Select‑Object DomainMode4.2 RODC 只读域控制器RODC 只读域控制器RODC 不存储 krbtgt 账号哈希不能 DCSync部分账号密码不会复制到 RODC不要拿 RODC 当做普通可写域控做漏洞复现。4.3 机器账号创建配额MachineAccountQuota域默认普通域用户可以最多创建10 台计算机账号。值为 0 的时候普通用户完全不能新建机器账号。RBCD 攻击、addcomputer 攻击需要新建机器账号如果配额为 0 直接失败。查询配额Get‑ADObject ‑Identity (Get‑ADDomain).defaultPartition ‑Properties ms‑DS‑MachineAccountQuota很多企业安全加固把该值设置为 0RBCD 攻击链条直接断裂。靶场默认保留 10 配额。5. 系统安全补丁带来的防护新版本 Windows 默认加固很多网上流传攻击教程写于 2020‑2022 年微软后续安全更新引入大量防护直接导致攻击无法复现KB5014754证书认证加固缓解 ESC1‑ESC4 证书漏洞旧证书漏洞复现条件变严格Microsoft …LDAP 签名、信道绑定 CBT 更新缓解 NTLM LDAP 中继CVE‑2020‑1472 修复 Zerologon针对 PetitPotam、PrinterBug 强制认证漏洞的安全补丁新版域控制器默认 SMB 签名、LDAP 签名策略收紧。重要启示不要拿 2021 年的教程直接在 2025 之后全新 Windows Server 环境复现大概率失败。6. 工具层面坑点impacket 版本、代理 proxychains、格式复制错误impacket 版本过旧老版本 impacket 存在大量 bug对新版 AD 加密类型支持差。很多复现失败仅仅是 impacket 版本太低建议使用最新 github 版本不要 apt 源自带旧版本。proxychains 代理坑SMB、RPC、Kerberos 复杂协议对 socks 代理兼容性很差。很多现象proxychains 执行工具一直超时、随机报错。遇到复杂域攻击尽量端口转发不要全局 proxychains。复制粘贴符号错误从 CSDN 网页复制命令空格、减号变成全角符号命令直接报错肉眼很难看出来。域名大小写、机器 FQDN 写错NetBIOS 名称和 DNS 主机名混淆。7. 一套通用域攻击排错工作流遇到复现失败按顺序排查当复制教程命令攻击失败不要直接换工具按照下面顺序逐项排查时间校验确认攻击机时间与域控时间差小于 5 分钟Kerberos 攻击优先检查时间。网络连通性确认目标端口可达445、135、389、636防火墙没有拦截。凭据有效性校验先用该凭据简单测试登录确认账号密码 / 哈希本身没有错误确认账号没有锁定禁用。权限检查BloodHound 查看当前账号 ACL 权限确认攻击所需要的 AD 权限是否具备。很多攻击不是工具不行是账号根本没有对应权限。协议安全策略检查检查 SMB 签名状态、LDAP 签名是否强制。环境基线检查查看域功能级别MachineAccountQuota 机器账号配额是否 RODC 域控。补丁版本检查确认目标系统是否已经修复对应 CVE 漏洞。区分报错类型Timeout网络防火墙Access Denied权限 / UAC 过滤 / 签名策略Protocol not supported协议加固Kerberos 时间相关报错时钟偏移。排错最大误区上来就怀疑工具 bug绝大多数情况是环境条件不满足。8. 红队实战启示靶场成功不等于实战可用靶场为了教学演示会把所有攻击前置条件全部给你准备好开放签名、给账号分配高危 ACL、调高机器账号配额、不打补丁现实企业不会给你这么理想环境。学习域渗透不能只会复制命令要记住每一条攻击的前置必要条件。攻击失败第一反应这个攻击需要什么条件当前环境缺少哪一条同一个效果准备多条备选攻击链路。比如 SMB PtH 失效切换票据 PTT445 中继失效尝试 LDAPDCSync 不行尝试本地 dump ntds.dit。很多经典攻击现在真实环境成功率已经很低NTLM 中继、Zerologon 在打满补丁域环境几乎很难遇到。9. 面试高频考点整理DCSync 攻击一定需要域管理员组吗什么是 8453 错误答不一定加入域管理员组账号只要拥有域命名上下文两个扩展权限Replicating Directory Changes、Replicating Directory Changes All就可以 DCSync8453 代表复制访问拒绝缺少复制权限RODC 不支持 DCSync。UAC 远程令牌过滤 LocalAccountTokenFilterPolicy 作用域管理员是否受影响答只针对本地管理员账号网络远程登录过滤降权域管理员账号不受该注册表影响靶场一般开启等于 1生产环境默认 0。为什么黄金票据导入 ptt 成功但是访问域控共享失败优先排查攻击机与域控时间差其次检查域 SID、krbtgt 哈希正确性目标开启 SMB 强制签名SMB 访问会失败可以改用 LDAP 操作。RBCD 攻击必须满足哪两个核心条件1攻击者对目标计算机对象拥有 GenericWrite/WriteProperty 权限2域环境域功能级别 2012 及以上同时 MachineAccountQuota 允许创建机器账号。什么是 Double‑Hop 双跳问题为什么第一跳是域管理员第二跳横向权限不足答当第一跳使用 NTLM 认证NTLM 不支持凭据委派从该主机再向外做第二层横向无法携带用户凭据解决导入 Kerberos 票据 PTT开启 CredSSPrunas /netonly。Kerberoasting 拿不到 TGS 票据可能有哪些原因域内没有用户账号注册 SPNSPN 全部在机器账号账号没有读取 SPN 属性权限时间偏移加密类型策略限制。SMB 强制签名、LDAP 强制签名分别会废掉哪些攻击SMB 强制签名PtH 哈希传递、SMB NTLM 中继失效LDAP 强制签名 CBTLDAP NTLM 中继、ESC8 证书中继失效。10. 全文总结很多人学习域渗透陷入一个误区记住大量攻击命令但是忽略攻击生效的前置约束条件。网上教程大多只展示攻击成功的流程很少说明环境依赖。域攻击复现失败主要归为几大类底层协议约束Kerberos5 分钟时间窗口、UAC 远程过滤、SMB/LDAP 签名加固AD 权限约束缺少对应 ACL 权限DCSync、RBCD 全部依赖对象权限不是有管理员账号就万能域配置约束域功能级别、机器账号配额、RODC 只读域控制器系统补丁加固微软后续安全更新缓解大量经典 AD 漏洞工具、代理、复制粘贴带来的人为坑。学习 AD 域渗透核心不是背 exp 命令而是理解每一个攻击的必要前提条件遇到报错按照排错流程逐项定位区分靶场理想环境和真实企业环境差异才能真正把域渗透学透。再次提醒全部技术仅限授权演练禁止未授权测试。了解网络安全首先要搞清楚下面这些前提网络安全到底包含哪些技术是否需要会编程网络安全行业有哪些职业方向“我”该如何选择网络安全的职业发展和成长路线是什么如果你是准备学习网络安全黑客或者正在学习下面这些你应该能用得上①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】 
长河君 · 2026/10/14 1:50:26 · 阅读 1.2k 域环境常见坑：为什么很多域攻击复现失败？条件、限制、绕过总结
免责声明本文仅供授权渗透测试、红队演练、网络安全学习。未经过书面授权禁止在企业生产域环境执行任何攻击操作未授权域渗透属于违法行为。文中所有命令、攻击条件仅用于原理复现学习请勿直接在真实业务环境执行。目录1. 前言靶场环境 vs 真实 AD 环境巨大差异2. 基础底层坑点90% 复现失败根源2.1 Kerberos 时间偏移5 分钟硬性限制2.2 UAC 远程令牌过滤 LocalAccountTokenFilterPolicy2.3 SMB 签名强制导致 PtH、SMB 中继失效2.4 LDAP 签名、信道绑定 CBTLDAP 中继彻底失效2.5 RPC 安全策略 RestrictRemoteClients3. 经典攻击逐个拆解报错现象、失败原因、排查、绕过3.1 DCSync 攻击 Access Denied错误 84533.2 Kerberoasting 拿不到 TGS 票据返回空结果3.3 RBCD 资源基于约束委派写入失败无法设置 msDS‑AllowedToAct3.4 NTLM 中继攻击各种失败场景LLMNR、PetitPotam、PrinterBug3.5 Pass‑the‑Hash 哈希传递各种报错3.6 Pass‑the‑Ticket 票据导入成功但是访问资源失败黄金 / 白银票据3.7 委派攻击非约束委派、约束委派复现失败3.8 Zerologon CVE‑2020‑1472 复现失败常见坑3.9 Double Hop 双跳问题第二跳凭据丢失4. 域层面限制域功能级别、RODC 只读域控制器、机器账号配额4.1 域功能级别 DFL4.2 RODC 只读域控制器4.3 机器账号创建配额MachineAccountQuota5. 系统安全补丁带来的防护新版本 Windows 默认加固6. 工具层面坑点impacket 版本、代理 proxychains、格式复制错误7. 一套通用域攻击排错工作流遇到复现失败按顺序排查8. 红队实战启示靶场成功不等于实战可用9. 面试高频考点整理10. 全文总结了解网络安全首先要搞清楚下面这些前提一、网络安全黑客学习路线二、网络安全教程视频三、网络安全CTF实战案例四、网络安全面试题摘要很多同学跟着网上教程复现域渗透攻击教程上一步一步复制命令靶场跑的非常顺利换到自建环境或者模拟域环境直接报错DCSync 拒绝访问、Kerberoasting 拿不到票据、NTLM 中继完全失效、RBCD 无法写入属性、黄金票据导入之后访问域控报错、PtH 哈希传递失败。网上绝大多数文章只写攻击成功的流程不会写攻击生效的前置依赖条件、Windows 补丁限制、组策略加固、权限约束、网络配置坑点。本文把域渗透高频踩坑做完整汇总从基础网络时间、SMB/LDAP 签名、UAC 远程过滤、权限约束、域功能级别、系统补丁防护、靶场与真实环境差异逐个拆解 DCSync、Kerberoasting、RBCD、NTLM 中继、PtH/PTT、黄金白银票据、委派攻击、zerologon 等经典攻击失败原因给出报错现象、根因、排查命令、可行绕过思路同时整理通用排错方法论帮助大家遇到复现失败时快速定位问题。MITRE‑ATTCK 映射TA0008 横向移动TA0006 凭据访问T1003 凭据转储T1558 Kerberos 票据攻击T1557 NTLM 中继T1027 防护规避。1. 前言靶场环境 vs 真实 AD 环境巨大差异网上大部分域渗透教程、B 站演示视频全部运行在无加固靶场环境域控 SMB 签名关闭、LDAP 签名关闭LocalAccountTokenFilterPolicy1关闭 UAC 远程过滤没有安装任何安全补丁不存在 CVE 缓解防护普通用户默认可以创建 10 个机器账号没有 RPC 远程访问限制没有 SIEM、EDR 拦截机器时间完全同步防火墙全部放行所有端口。现实企业环境Windows Server2019 及以上、打全月度安全补丁之后很多经典攻击默认已经不能直接复现。很多新手遇到现象同样命令靶场通自建域直接报错就怀疑工具坏了、教程写错实际上是缺少攻击生效必须的前置条件。一个域攻击能够成功需要同时满足网络层端口可达防火墙放行系统层组策略、注册表没有开启对应加固权限层当前账号拥有对应 AD 对象 ACL 权限协议层签名、加密策略没有阻断攻击协议版本补丁层没有安装缓解该漏洞的安全更新时间层Kerberos 时间差小于 5 分钟。缺少任意一个条件攻击直接失败。2. 基础底层坑点90% 复现失败根源2.1 Kerberos 时间偏移5 分钟硬性限制Kerberos 协议设计客户端与 KDC 域控制器时间差必须小于 5 分钟否则全部 Kerberos 票据直接拒绝Microsoft …。现象黄金票据 ptt 导入成功使用票据访问域控直接报错KRB5KDC_ERR_CLOCK_SKEW_TOO_GREATKerberoasting 返回空所有‑k 参数的 impacket 工具全部认证失败。常见场景攻击机 Kali 虚拟机休眠之后虚拟机时间错乱和域控时间相差十几分钟靶场快照回滚域控时间停留在旧时间。排查命令#kali查看本机时间 date #和域控做时间同步 ntpdate 192.168.1.100注意NTLM 认证不受时间限制只有 Kerberos 全套攻击受时间约束。2.2 UAC 远程令牌过滤 LocalAccountTokenFilterPolicyWindows 默认策略本地管理员账号从网络远程登录会被 UAC 过滤得到受限令牌本地管理员权限被剥离域管理员账号不受这条策略影响。现象账号是目标机器本地管理员PtH/psexec/wmiexec 连接返回STATUS_ACCESS_DENIED本地登录本机管理员一切正常网络横向直接拒绝。根因注册表HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\SystemDWORDLocalAccountTokenFilterPolicy默认等于 0。0开启远程 UAC 过滤系统默认1关闭过滤远程登录拿到完整管理员权限坑网上很多靶场教程第一步就把这个注册表改成 1但是真实生产环境默认是 0。重要域账号不受这个注册表影响只有本机本地管理员账号才会触发。绕过思路优先使用域管理员账号做横向避开本地管理员拿到目标机器本地交互 shell修改注册表 LocalAccountTokenFilterPolicy1重启机器生效使用 RDP 本地控制台登录mstsc /admin绕过过滤。2.3 SMB 签名强制导致 PtH、SMB 中继失效SMB 签名SMB Security Signature服务器强制 SMB 签名开启之后impacket 传统 PtH 哈希传递、SMB NTLM 中继直接失效。三种状态0禁用1协商客户端支持就签名不支持就不签名靶场常用2强制必须签名。现象PtH 执行 psexec.py 返回STATUS_NOT_SUPPORTEDrelay 攻击到 445 完全没有效果。Windows Server 域控制器默认 SMB 签名是协商状态企业加固组策略改成强制签名之后SMB 层面 NTLM 中继彻底废掉。坑很多新手不理解PtH 不是万能目标开启强制 SMB 签名impacket 的 PtH 无法工作。排查目标 SMB 签名状态crackmapexec smb 192.168.1.100 --gen-relay-list out.txt #输出会显示 signing:True/False绕过思路中继攻击放弃 445转向中继 LDAP 389 端口优先切换 Kerberos 票据认证‑k 参数。2.4 LDAP 签名、信道绑定 CBTLDAP 中继彻底失效微软 KB 更新之后域控制器可以开启LDAP 服务器签名要求 LDAP 信道绑定 CBT。一旦强制 LDAP 签名NTLM 中继到 389 LDAP 直接失效ESC8 证书中继攻击直接废掉Microsoft。现象NTLMrelay 成功接收中继凭据但是 LDAP 绑定返回 8453 错误无法修改计算机对象属性。事件日志 ID2889代表未签名 LDAP 绑定被拒绝。LDAP 签名策略三个档位None / Negotiate / Require signing。Windows Server2025 全新部署LDAP 签名默认强制开启靶场大多是 Negotiate 或者 None 状态Microsoft …。真实企业现状现在很多企业已经部署 LDAP 签名强制网上大量 LDAP 中继教程已经无法直接复现。2.5 RPC 安全策略 RestrictRemoteClients注册表HKLM\SOFTWARE\Policies\Microsoft\Windows NT\RPC\RestrictRemoteClients值 2未经身份验证 RPC 客户端全部拦截。现象wmiexec、DCOM 远程调用超时拒绝PetitPotam RPC 强制认证失败。很多安全基线加固脚本会开启该策略靶场一般不会配置该项Microsoft …。3. 经典攻击逐个拆解报错现象、失败原因、排查、绕过3.1 DCSync 攻击 Access Denied错误 8453DCSync 不需要登录域控主机通过 AD 复制协议导出账号哈希。报错现象impacket‑secretsdump 执行 DCSync 返回[-] DRSGetNCChanges 8453 Replication‑access was denied。很多人误以为只要域管理员组就一定可以 DCSync其实需要两个扩展权限Replicating Directory ChangesReplicating Directory Changes AllDomain Admins、Enterprise Admins 默认拥有如果是普通账号即使加入域管理员ACL 被篡改或者 RODC 环境也会没有复制权限RODC 只读域控制器不支持 DCSyncRODC 不会存储 krbtgt 哈希在 RODC 上执行 DCSync 直接失败Microsoft …。排查BloodHound 查看账号是否拥有这两个复制权限。踩坑拿到普通服务器本地管理员不等于拥有 DCSync 权限很多新手混淆这点。DCSync 是域对象 ACL 权限不是机器本地权限。绕过拿到有复制权限账号或者登陆域控本机dump ntds.dit 本地导出哈希不需要 DCSync 权限。3.2 Kerberoasting 拿不到 TGS 票据返回空结果Kerberoasting 攻击原理请求注册了 SPN 服务账号的 TGS 票据离线爆破。现象GetUserSPNs.py 执行完毕输出为空没有拿到任何 TGS 票据。失败根因域内没有任何用户账号注册 SPN全部 SPN 注册在机器账号上Kerberoasting 针对用户账号 SPN机器账号 SPN 拿出来的 TGS 不能直接爆破账号没有读取 servicePrincipalName 属性权限AES 加密类型配置问题msds‑SupportedEncryptionTypes 限制 RC4时间差超过 5 分钟KDC 拒绝 TGS 请求。排查命令查找域内用户账号 SPNimpacket‑GetUserSPNs corp.local/user:pass192.168.1.100实战坑点很多现代域环境业务 SPN 全部注册给计算机账号Kerberoasting 直接没有猎物靶场环境会特意创建带 SPN 普通用户账号供复现。3.3 RBCD 资源基于约束委派写入失败无法设置 msDS‑AllowedToActRBCD 攻击条件攻击者对目标计算机对象拥有 GenericWrite/WriteProperty 权限才能够写入 msDS‑AllowedToAct 属性。现象执行 addcomputer 或者 rbcd 脚本报错Unable to set msDS‑AllowedToActLDAP 错误 50。失败原因账号没有目标机器对象 GenericWrite 权限最常见域控开启 LDAP 强制签名未签名 LDAP 修改被拒绝目标是域控机器账号域控计算机对象 ACL 做保护普通账号即使 GenericWrite 也被拦截域内机器账号配额为 0普通用户不允许新建计算机账号。很多教程直接演示前提环境已经给普通账号分配 GenericWrite 权限真实环境很难遇到。3.4 NTLM 中继攻击各种失败场景LLMNR、PetitPotam、PrinterBugNTLM 中继失败是复现最高频问题失败原因汇总目标 SMB 签名强制 → 445 中继失败切换 LDAP389域控制器开启 LDAP 签名 CBT → LDAP 中继也失效被诱导的机器账号对目标没有任何权限中继过来凭据权限低即使绑定成功也做不了修改防火墙拦截PetitPotam 使用的 RPC 端口被拦截无法强制认证Windows 新版本修复 PrinterBug、PetitPotam漏洞补丁已经打上无法触发强制认证跨域中继失败凭据来自 A 域机器中继到 B 域 DC跨域信任不支持。坑网上很多中继文章写的是未打补丁 2016 域控新版 Windows 很多强制认证漏洞已经被修复。3.5 Pass‑the‑Hash 哈希传递各种报错PtH 报错分类STATUS_LOGON_FAILURENTLM 哈希复制错误格式 LM:NTLMLM 为空必须写冒号:hashvalue很多人漏写冒号账号已经禁用、账号锁定STATUS_ACCESS_DENIED目标开启强制 SMB 签名使用本地管理员触发 UAC 远程过滤STATUS_NOT_SUPPORTED协议不支持SMB 签名强制。重要区分PtH 是 NTLM 认证PTT 票据传递走 Kerberos不受 SMB 签名限制。3.6 Pass‑the‑Ticket 票据导入成功但是访问资源失败黄金 / 白银票据现象mimikatz kerberos::golden /ptt 提示票据导入成功但是访问 \dc01.corp.local\c$ 直接拒绝。失败原因时间偏移攻击机时间与 KDC 超过 5 分钟黄金票据本地生成不会和 KDC 交互工具不会报时间错误但是访问资源直接失败域 SID 填写错误生成黄金票据的 SID 写错krbtgt 哈希复制错误白银票据指定 SPN 错误白银票据仅能访问填写的那一个服务例如 service:cifs 只能访问文件共享不能执行 DCSync LDAP 操作目标开启 SMB 强制签名使用黄金票据走 SMB 访问失败改用 LDAP 操作。白银票据高频坑很多新手生成白银票据之后以为拥有全部权限实际上只能访问单个 SPN 服务。3.7 委派攻击非约束委派、约束委派复现失败非约束委派 Unconstrained Delegation机器开启非约束委派用户登录该机器TGT 会缓存到 lsass 内存。复现失败现象即使机器开启非约束委派等待很久拿不到任何用户 TGT。根因必须有高权限用户主动登录这台开启非约束委派的服务器。靶场会模拟域管理员登录机器真实环境没有用户登录你拿到机器权限也得不到任何 TGT 票据。约束委派复现失败配置的 SERVICE_NAMESPN写错没有获取到该服务账号哈希域功能级别过低不支持约束委派。3.8 Zerologon CVE‑2020‑1472 复现失败常见坑Zerologon 漏洞条件目标域控 Netlogon 通道未打补丁。现象exp 脚本反复尝试全部返回 STATUS_ACCESS_DENIED无法重置机器账号密码。失败点域控已经安装安全补丁 CVE‑2020‑1472漏洞修复目标不是域控制器普通服务器DNS 解析错误脚本连接的不是 DC 机器新版 Netlogon 协议加固启用强模式。现在生产域控基本全部打补丁Zerologon 几乎只能老靶场复现。3.9 Double Hop 双跳问题第二跳凭据丢失经典场景已经拿到机器 A 的 shell在 A 机器执行 mimikatz 或者 impacket 工具横向访问机器 B访问被拒绝。原理登录 A 机器使用 NTLM 认证NTLM 不支持凭据委托第二跳没有用户凭据。很多新手疑惑本机 whoami 是域管理员但是从这台机器横向其他机器权限不足。解决办法使用 PTT在第一跳机器导入 kerberos 票据开启 CredSSP使用 runas /netonly。靶场教程很多直接给 kerberos 环境很少遇到双跳真实内网横向非常常见。4. 域层面限制域功能级别、RODC 只读域控制器、机器账号配额4.1 域功能级别 DFL部分 AD 攻击依赖域功能级别RBCD 资源基于约束委派最低域功能级别 Windows Server 2012如果域功能级别 2008RBCD 完全不能使用。很多人在 2008 功能级别域环境复制 RBCD 教程命令一直报错找不到原因。查看域功能级别 PowerShellGet‑ADDomain | Select‑Object DomainMode4.2 RODC 只读域控制器RODC 只读域控制器RODC 不存储 krbtgt 账号哈希不能 DCSync部分账号密码不会复制到 RODC不要拿 RODC 当做普通可写域控做漏洞复现。4.3 机器账号创建配额MachineAccountQuota域默认普通域用户可以最多创建10 台计算机账号。值为 0 的时候普通用户完全不能新建机器账号。RBCD 攻击、addcomputer 攻击需要新建机器账号如果配额为 0 直接失败。查询配额Get‑ADObject ‑Identity (Get‑ADDomain).defaultPartition ‑Properties ms‑DS‑MachineAccountQuota很多企业安全加固把该值设置为 0RBCD 攻击链条直接断裂。靶场默认保留 10 配额。5. 系统安全补丁带来的防护新版本 Windows 默认加固很多网上流传攻击教程写于 2020‑2022 年微软后续安全更新引入大量防护直接导致攻击无法复现KB5014754证书认证加固缓解 ESC1‑ESC4 证书漏洞旧证书漏洞复现条件变严格Microsoft …LDAP 签名、信道绑定 CBT 更新缓解 NTLM LDAP 中继CVE‑2020‑1472 修复 Zerologon针对 PetitPotam、PrinterBug 强制认证漏洞的安全补丁新版域控制器默认 SMB 签名、LDAP 签名策略收紧。重要启示不要拿 2021 年的教程直接在 2025 之后全新 Windows Server 环境复现大概率失败。6. 工具层面坑点impacket 版本、代理 proxychains、格式复制错误impacket 版本过旧老版本 impacket 存在大量 bug对新版 AD 加密类型支持差。很多复现失败仅仅是 impacket 版本太低建议使用最新 github 版本不要 apt 源自带旧版本。proxychains 代理坑SMB、RPC、Kerberos 复杂协议对 socks 代理兼容性很差。很多现象proxychains 执行工具一直超时、随机报错。遇到复杂域攻击尽量端口转发不要全局 proxychains。复制粘贴符号错误从 CSDN 网页复制命令空格、减号变成全角符号命令直接报错肉眼很难看出来。域名大小写、机器 FQDN 写错NetBIOS 名称和 DNS 主机名混淆。7. 一套通用域攻击排错工作流遇到复现失败按顺序排查当复制教程命令攻击失败不要直接换工具按照下面顺序逐项排查时间校验确认攻击机时间与域控时间差小于 5 分钟Kerberos 攻击优先检查时间。网络连通性确认目标端口可达445、135、389、636防火墙没有拦截。凭据有效性校验先用该凭据简单测试登录确认账号密码 / 哈希本身没有错误确认账号没有锁定禁用。权限检查BloodHound 查看当前账号 ACL 权限确认攻击所需要的 AD 权限是否具备。很多攻击不是工具不行是账号根本没有对应权限。协议安全策略检查检查 SMB 签名状态、LDAP 签名是否强制。环境基线检查查看域功能级别MachineAccountQuota 机器账号配额是否 RODC 域控。补丁版本检查确认目标系统是否已经修复对应 CVE 漏洞。区分报错类型Timeout网络防火墙Access Denied权限 / UAC 过滤 / 签名策略Protocol not supported协议加固Kerberos 时间相关报错时钟偏移。排错最大误区上来就怀疑工具 bug绝大多数情况是环境条件不满足。8. 红队实战启示靶场成功不等于实战可用靶场为了教学演示会把所有攻击前置条件全部给你准备好开放签名、给账号分配高危 ACL、调高机器账号配额、不打补丁现实企业不会给你这么理想环境。学习域渗透不能只会复制命令要记住每一条攻击的前置必要条件。攻击失败第一反应这个攻击需要什么条件当前环境缺少哪一条同一个效果准备多条备选攻击链路。比如 SMB PtH 失效切换票据 PTT445 中继失效尝试 LDAPDCSync 不行尝试本地 dump ntds.dit。很多经典攻击现在真实环境成功率已经很低NTLM 中继、Zerologon 在打满补丁域环境几乎很难遇到。9. 面试高频考点整理DCSync 攻击一定需要域管理员组吗什么是 8453 错误答不一定加入域管理员组账号只要拥有域命名上下文两个扩展权限Replicating Directory Changes、Replicating Directory Changes All就可以 DCSync8453 代表复制访问拒绝缺少复制权限RODC 不支持 DCSync。UAC 远程令牌过滤 LocalAccountTokenFilterPolicy 作用域管理员是否受影响答只针对本地管理员账号网络远程登录过滤降权域管理员账号不受该注册表影响靶场一般开启等于 1生产环境默认 0。为什么黄金票据导入 ptt 成功但是访问域控共享失败优先排查攻击机与域控时间差其次检查域 SID、krbtgt 哈希正确性目标开启 SMB 强制签名SMB 访问会失败可以改用 LDAP 操作。RBCD 攻击必须满足哪两个核心条件1攻击者对目标计算机对象拥有 GenericWrite/WriteProperty 权限2域环境域功能级别 2012 及以上同时 MachineAccountQuota 允许创建机器账号。什么是 Double‑Hop 双跳问题为什么第一跳是域管理员第二跳横向权限不足答当第一跳使用 NTLM 认证NTLM 不支持凭据委派从该主机再向外做第二层横向无法携带用户凭据解决导入 Kerberos 票据 PTT开启 CredSSPrunas /netonly。Kerberoasting 拿不到 TGS 票据可能有哪些原因域内没有用户账号注册 SPNSPN 全部在机器账号账号没有读取 SPN 属性权限时间偏移加密类型策略限制。SMB 强制签名、LDAP 强制签名分别会废掉哪些攻击SMB 强制签名PtH 哈希传递、SMB NTLM 中继失效LDAP 强制签名 CBTLDAP NTLM 中继、ESC8 证书中继失效。10. 全文总结很多人学习域渗透陷入一个误区记住大量攻击命令但是忽略攻击生效的前置约束条件。网上教程大多只展示攻击成功的流程很少说明环境依赖。域攻击复现失败主要归为几大类底层协议约束Kerberos5 分钟时间窗口、UAC 远程过滤、SMB/LDAP 签名加固AD 权限约束缺少对应 ACL 权限DCSync、RBCD 全部依赖对象权限不是有管理员账号就万能域配置约束域功能级别、机器账号配额、RODC 只读域控制器系统补丁加固微软后续安全更新缓解大量经典 AD 漏洞工具、代理、复制粘贴带来的人为坑。学习 AD 域渗透核心不是背 exp 命令而是理解每一个攻击的必要前提条件遇到报错按照排错流程逐项定位区分靶场理想环境和真实企业环境差异才能真正把域渗透学透。再次提醒全部技术仅限授权演练禁止未授权测试。了解网络安全首先要搞清楚下面这些前提网络安全到底包含哪些技术是否需要会编程网络安全行业有哪些职业方向“我”该如何选择网络安全的职业发展和成长路线是什么如果你是准备学习网络安全黑客或者正在学习下面这些你应该能用得上①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】