什么是域内权限？域用户、本地管理员、域管理员权限区别详解-平芜编程栈

🔒免责声明：本文所有内容仅用于授权红蓝对抗、渗透测试学习研究，禁止在未授权企业内网、生产域环境执行探测、攻击操作，未授权访问属于违法行为。所有演示场景均为本地搭建 AD 靶场。

- 1. 两套权限体系：本地权限体系 VS AD 域权限体系
- - 1.1 本地权限体系
  - 1.2 AD 域权限体系
  - 1.3 两套体系交叉授权（非常重要）
- 2. 本地账号完整解析：本地普通用户、本地管理员
- - 2.1 本地普通用户（Local Users 组）
  - 2.2 本地管理员 Local Administrator
  - 2.3 域控制器 DC 机器特殊说明
- 3. 域账号完整解析：普通域用户，域内置安全组详解
- - 3.1 普通域用户 Domain Users 组
  - 3.2 域内置安全组梳理
- 4. 重点对比：本地管理员 VS 域管理员，一字之差天壤之别
- - 4.1 本地管理员（单台机器）
  - 4.2 域管理员 Domain Admins 组成员
  - 4.3 表格直观对比
  - 4.4 极易混淆场景举例
- 5. 域内高阶权限：Domain Admins、Enterprise Admins、Schema Admins
- - 5.1 Domain Admins（域管理员组）
  - 5.2 Enterprise Admins 企业管理员组
  - 5.3 Schema Admins 架构管理员组
- 6. AD 访问控制 ACL、OU 组织单元权限，很多人忽略的权限维度
- - 6.1 ACL 访问控制列表
  - 6.2 OU 组织单元权限
  - 6.3 权限继承
- 7. 不同权限对应的攻击面：拿到各类权限之后攻击者能干什么
- - ① 单台机器本地管理员权限（非域控）
  - ② 普通域用户权限
  - ③ 账号拥有部分 ACL 高危权限（非域管理员组）
  - ④ Domain Admins 域管理员权限
  - ⑤ Enterprise Admins 企业管理员
- 8. 实战场景案例拆解，理清权限混淆带来的坑
- - 案例 1：拿到 web 服务器本地管理员，尝试直接 RDP 域控失败
  - 案例 2：BloodHound 看到账号对多台机器拥有 AdminTo 权限，误以为是域管理员
  - 案例 3：子域 Domain Admins 无法操作父域
  - 案例 4：普通域用户，没有加入任何高权限组，却可以提权到域管理员
- 9. BloodHound 视角看权限，看懂攻击路径当中的权限含义
- 10. 域环境权限常见误区汇总
- 11. 蓝队运维视角：域权限收敛最佳实践
- 12. 学习总结
- 最后
- 关于网络安全技术储备
- - 一、网络安全（黑客）学习路线
  - 二、网络安全教程视频
  - 三、网络安全CTF实战案例
  - 四、网络安全面试题

摘要
很多刚入坑域渗透的朋友，最容易踩坑的就是权限概念混淆。拿到一台服务器本地管理员权限，就想着直接登录域控；拿到普通域账号，以为可以读写域内所有主机；把本地管理员和域管理员画上等号，复现网上域渗透教程屡屡失败。

在 AD 活动目录域环境当中，权限分为两大体系：本机本地权限体系和域全局权限体系。本地管理员只作用于单台机器，域管理员作用于整个域，二者不能混为一谈。除此之外还有服务器本地普通用户、普通域用户、高权限域组、组织单元 OU 权限、资源 ACL 访问控制权限等一大堆概念。

本文从零基础角度，把域环境各类权限掰开揉碎讲解，对比域用户、本地普通用户、本地管理员、域普通用户、域管理员、企业管理员之间的差异，讲解权限作用范围、能干什么、不能干什么，结合大量渗透实战场景举例，同时梳理 AD 的 ACL 访问控制、组权限继承逻辑，并且总结攻击者拿到不同权限之后可以开展哪些攻击动作，以及蓝队运维如何做权限收敛。读完本篇之后，能够看懂 BloodHound 猎鹰工具输出的权限关系，理解各类域攻击前置权限条件，避免靶场学得很好，真实环境完全无从下手。适合内网渗透初学者、安全运维、红蓝对抗人员阅读。

前言
工作组模式下，权限非常简单：每一台电脑自己管好自己，本机管理员掌控本机一切，权限边界就是单台主机。

当大量 Windows 机器加入 AD 域之后，权限模型一下子变得复杂。一台机器上面同时存在两套账号体系：本地账号体系 + 域账号体系。域账号可以登录本机，域账号也可以被加入本机本地管理员组；域内部又存在大量内置安全组，不同安全组拥有不同范围的权限。

很多网络安全教程直接上来讲黄金票据、DCSync、Kerberoasting，但是没有讲清楚权限边界。很多人复制命令复现失败，根本原因就是当前账号权限达不到攻击技术的前置要求。

举几个新手高频错误认知：

我拿到了服务器 A 的本地管理员，我就能登录域控。❌
我拥有普通域用户账号，我就可以读取所有服务器 C$ 盘。❌
只要是域管理员，就一定能管理多个森林里面所有域。❌
把域用户加入某台机器本地管理员组，这个账号就变成域管理员。❌

想要学好域渗透，第一件事就是搞懂权限的边界：这个权限管多大范围？哪些操作允许，哪些操作做不到？拿到这个权限之后，攻击者可以做什么，不可以做什么。

1. 两套权限体系：本地权限体系 VS AD 域权限体系

只要计算机加入 AD 域，主机内部就同时运行两套独立的权限模型，两套体系账号可以互相交叉授权。

1.1 本地权限体系

存储位置：本机磁盘 SAM 数据库C:\Windows\System32\config\SAM
作用范围：仅当前这一台计算机，对其他机器完全无效。
包含对象：本地用户账号、本地组（Administrators、Users、Guests 等）。

关键点：就算主机已经加入域，SAM 数据库依然完整保留，本地账号依然可以登录本机。域成员服务器、员工办公电脑都存在 SAM；域控制器 DC 特殊：域控机器 SAM 数据库失效，域控机器不再使用本地账号，所有身份全部由 AD 数据库 ntds.dit 管理。

简单说：本地权限只管自己这台机器。你在 A 机器上是本地管理员，这个身份不会自动带到 B 机器。

1.2 AD 域权限体系

存储位置：域控制器 ntds.dit 活动目录数据库
作用范围：整个域，域内所有加入域的计算机、用户、资源。
包含对象：域用户、域计算机账号、域安全组、OU 组织单元、ACL 访问控制列表。

域账号信息不会保存在成员机器 SAM 文件中，域账号登录机器的时候，会把认证请求发送给域控校验身份。

1.3 两套体系交叉授权（非常重要）

Windows 支持把域账号添加到本机的本地组里面。
举例：把域账号testlab\zhangsan添加到服务器 01 的本地 Administrators 管理员组。
效果：zhangsan 这个域账号，登录服务器 01 的时候，拥有这台服务器本地管理员权限。
但是！zhangsan 依旧只是普通域用户，不是域管理员。这个权限仅仅对服务器 01 生效，不会自动扩散到服务器 02，更不能登录域控制器。

这个机制是内网横向移动非常核心的场景，也是绝大多数新手最容易混淆的地方。

对比项	本地权限体系	AD 域权限体系
数据存储	本机 SAM 文件	域控 ntds.dit 数据库
生效范围	仅限单台主机	整个域内所有域对象
账号格式	主机名 \ 用户名	域名 \ 用户名
域控制器 DC	DC 机器 SAM 失效，无可用本地账号	DC 完全依赖 AD 域权限
跨机器生效	默认不跨机器，需要手动配置每一台主机	账号天然可以登录任意域成员主机（受登录权限策略限制）

记忆口诀：本地权限绑定机器，域权限绑定整个域。域账号可以被授予单台机器本地权限，但不代表升级成为域管理员。

2. 本地账号完整解析：本地普通用户、本地管理员

本地账号存在于每一台域成员机器（员工 PC、业务服务器），域控制器除外。

2.1 本地普通用户（Local Users 组）

内置组：Users 本地普通用户组。
默认账号示例：WIN10‑PC\user01
权限范围：仅限本机。
能力：

可以登录本机桌面，运行普通程序；
不能修改系统配置，不能修改注册表关键项，不能安装软件；
不能访问 C(、ADMIN)管理共享；
没有权限抓取本机 lsass 内存凭证。

局限：该账号权限只针对本机，没有任何访问其他内网机器的权限。就算机器加入域，本地普通用户也无法直接访问域资源。

2.2 本地管理员 Local Administrator

内置本地组：Administrators。默认内置账号 Administrator。
账号格式：SRV‑WEB01\Administrator。
权限范围：仅仅针对当前这一台机器最高权限。
在这台机器上面可以完成的操作：

完全控制系统：增删改文件、修改系统配置、安装卸载软件；
读取 C(、ADMIN)管理共享；
读取本机 SAM 数据库，抓取本机内存 lsass 进程，导出内存中保存的各类凭证（域账号 hash、票据）；
修改本机本地组，可以把域账号加入本机管理员组；
可以在本机开启后门、植入木马。

⚠️重点：本地管理员 ≠ 域管理员
仅仅拥有 SRV‑WEB01 的本地管理员，默认情况下：
❌不能直接登录域控制器；
❌不能读取其他服务器的 C$ 共享；
❌不能查询 AD 域数据库，不能导出 ntds.dit；
❌没有域层面的任何权限。

但是！这里存在一个内网渗透非常经典的攻击场景：如果企业运维偷懒，内网所有服务器本地管理员账号密码全部相同。攻击者拿到一台机器本地管理员 NTLM Hash，就可以使用 Pass‑the‑Hash 哈希传递，横向移动到内网其他所有机器。
注意：哈希传递成功的前提：目标机器的本地管理员账号密码 hash 和已获取 hash 一致，这只是机器本地账号的凭证，并不代表获得域管理员身份。

2.3 域控制器 DC 机器特殊说明

当一台 Windows 服务器提升成为域控制器之后，本机 SAM 账号体系就被禁用。

域控机器不再有可用本地 Administrator 账号；
所有身份认证全部交给 ntds.dit；
但是保留 DSRM 目录恢复模式账号，这是一个独立账号，平时不启用。

很多新人拿到域成员服务器本地管理员，尝试远程 RDP、SMB 访问域控，全部失败，根源就在这里：域控不使用本地 SAM 账号做登录认证，本地管理员账号对域控无效。

3. 域账号完整解析：普通域用户，域内置安全组详解

所有域账号全部存储在域控制器 ntds.dit 数据库。域账号可以登录域内任意一台域成员主机（受本地安全策略、组策略允许登录设置限制）。

3.1 普通域用户 Domain Users 组

所有新建的域用户，默认自动加入Domain Users组。示例账号：testlab\zhangsan。
很多人小看普通域用户，以为权限什么都干不了，实际在内网渗透当中，普通域用户是非常重要的起点。

✅普通域用户默认拥有能力：

可以登录域内绝大多数域成员办公电脑（服务器一般会禁止普通域用户登录）；
访问 SYSVOL 域共享文件夹\\testlab.local\SYSVOL；
连接域控 389 端口 LDAP，查询绝大多数 AD 对象：域用户列表、计算机列表、SPN 服务主体名称；
请求 Kerberos TGS 服务票据，如果账号关联 SPN，可以触发 Kerberoasting 攻击；
访问域内允许访问的文件共享、业务系统；

❌普通域用户默认不能做的事情：

默认禁止登录域控制器 DC；
不能读取 ntds.dit 域数据库；
不能访问服务器 C(、ADMIN)管理共享（除非被手动加入目标机器本地管理员组）；
不能修改域内用户、组策略配置；

划重点：普通域用户虽然权限低，但是已经拿到了 AD 域的 “入场门票”，可以做大量信息收集工作。很多护网真实场景，攻击者从外网 Web 漏洞拿到 shell，获取普通域用户身份，以此作为起点开展整个内网域渗透。

3.2 域内置安全组梳理

AD 域安装完成之后自带大量内置安全组，不同的组代表不同权限，这是域权限体系核心。

Domain Users：所有普通域用户默认在此组，域内基础身份。
Domain Computers：所有加入域的计算机对象全部属于这个组。注意：计算机也是域内对象，计算机账号同样拥有权限，也可以成为攻击对象。
Domain Admins 域管理员组：本域最高权限组，本文后面重点讲解。
Enterprise Admins 企业管理员组：仅森林根域存在，管辖整个森林所有域。
Schema Admins 架构管理员组：修改 AD 活动目录架构，森林最高权限。
Account Operators 账号操作员：可以管理域用户账号，但是不能修改域管理员账号。属于高危权限，容易提权。
Group Policy Operators 组策略操作员：拥有编辑组策略权限，可以通过 GPO 下发恶意脚本实现域内提权。
Print Operators 打印操作员：管理打印服务，该组账号可以本地登录域控，属于危险组。

运维经常踩坑：为了运维方便，把普通业务账号加入 Account Operators、Print Operators 等高权限内置组，造成权限溢出。

4. 重点对比：本地管理员 VS 域管理员，一字之差天壤之别

这是整篇文章最重要的一节，区分清楚二者，域渗透就跨过第一道门槛。

4.1 本地管理员（单台机器）

来源：本机 SAM 数据库。
生效边界：仅仅这一台主机。
代表账号：SRV‑01\Administrator
能干什么：完全接管当前机器，可以抓取本机内存凭证，如果本机有域账号登录，内存中可以拿到域账号 hash。
不能干什么：

对其他服务器、域控没有默认权限；
无法直接访问 AD 数据库，不能读取 ntds.dit；
无法修改域用户、组策略；

重要链路：如果这台机器上有域管理员登录过，攻击者拿到这台机器本地管理员权限，可以 dump lsass 内存，从内存导出域管理员的 hash 或者 Kerberos 票据。拿到域管理员凭证之后，才可以进一步拿下域控。
也就是说：本地管理员本身不代表域权限，但是本地管理员有机会窃取登录在本机的高权限域账号内存凭证，以此跳板获得域权限。这是内网非常经典的权限提升链路。

4.2 域管理员 Domain Admins 组成员

来源：AD 域 ntds.dit 数据库。
生效边界：整个当前域的全部资源。
账号示例：testlab\Administrator

✅域管理员默认能力：

可以登录域控制器 DC；
域内绝大多数域成员主机，域管理员默认拥有该机器本地管理员权限；
可以读取 ntds.dit 数据库，导出域内全部账号 NTLM Hash；
修改域用户、组、GPO 组策略；
执行 DCSync，通过 LDAP 复制拿到全量域凭证；
访问所有机器 C(、ADMIN)管理共享。

⚠️限制：Domain Admins 仅仅管理当前所在域。如果存在父子域森林，子域 Domain Admins，默认没有父域权限，不能直接操控父域资源，想要跨域需要利用域信任关系。

4.3 表格直观对比

项目	单台机器本地管理员	Domain Admins 域管理员
账号存储位置	目标机器 SAM 文件	域控 ntds.dit 数据库
权限生效范围	仅当前一台主机	整个本域所有计算机、AD 对象
是否可以登录域控	❌默认不可以	✅允许登录域控制器
是否能导出 ntds.dit	❌本机不是域控，不存在 ntds.dit	✅可以导出完整域账号哈希
访问其他服务器 C$ 共享	❌默认不行，除非账号密码全网复用	✅域内机器大多可以访问
修改域用户、组策略	❌没有域层面权限	✅完整域管理权限
获取凭证方式	dump 本机 lsass，只能拿到本机内存驻留凭证	可以直接导出域全部账号凭证
跨域权限	完全无跨域能力	仅本域，不自动拥有父域 / 其他森林权限

4.4 极易混淆场景举例

场景：将普通域用户 testlab\user01 加入服务器 SRV‑WEB 的本地 Administrators 组。

user01 身份：依旧是普通域用户，不是域管理员。
user01 权限：仅在 SRV‑WEB 这台服务器上拥有本地管理员权限。
user01 限制：依旧不能登录域控，不能读取其他服务器 C$ 盘，不能修改域配置。

很多新手在这里踩坑：看到 BloodHound 显示该账号对某台机器有 AdminTo 权限，就以为账号是域管理员。AdminTo 仅仅代表对这一台机器拥有管理员权限，不等于域管理员。

5. 域内高阶权限：Domain Admins、Enterprise Admins、Schema Admins

AD 森林当中存在三个天花板级别的安全组，权限逐级升高，很多人分不清。

5.1 Domain Admins（域管理员组）

归属：每一个域都独立拥有自己的 Domain Admins 组；子域有子域自己的 Domain Admins。
管辖范围：仅限本域内部所有对象。
权限：可以登录本域域控，导出本域 ntds.dit，管理本域用户、计算机、GPO。
局限：子域 Domain Admins，不会自动拥有父域权限。想要获取父域权限，需要利用父子域信任关系进行攻击。

5.2 Enterprise Admins 企业管理员组

归属：只存在森林根域，子域没有这个组。
管辖范围：整个森林下面所有域，父子域全部受管控。
权限：Enterprise Admins 成员，自动加入每一个子域的 Domain Admins 组。拿下企业管理员，等于掌控整个森林全部域。

真实企业环境，这个组里面账号数量极少，一般只有森林根域少数运维账号。一旦攻击者获取 Enterprise Admins 权限，整个森林沦陷。

5.3 Schema Admins 架构管理员组

归属：仅森林根域；
管辖范围：整个森林；
能力：修改 AD 活动目录底层架构模板。属于 AD 最高权限，几乎日常运维不会用到，该组默认几乎没有成员。如果攻击者拿到 Schema Admins 权限，可以篡改 AD 底层架构，持久化后门，清理痕迹难度极大。

权限优先级排序：Schema Admins > Enterprise Admins > Domain Admins >> 普通域用户。

渗透实战小知识点：
拿到 Domain Admins ≠ 掌控其他子域；
拿到 Enterprise Admins = 掌控森林全部域；
拿到 Schema Admins = AD 森林完全沦陷。

6. AD 访问控制 ACL、OU 组织单元权限，很多人忽略的权限维度

很多初学者理解域权限，只看用户属于哪个安全组，但是 AD 还有一套非常灵活的 ACL 访问控制列表权限。ACL 可以脱离安全组，单独给某一个账号分配对指定对象的权限，这也是大量域提权漏洞来源，同时也是 BloodHound 猎鹰工具重点展示内容。

6.1 ACL 访问控制列表

AD 里面每一个对象（用户、计算机、组、OU）都附带 ACL 属性。ACL 记录哪些账号对这个对象拥有什么操作权限。
可以授予的权限举例：

完全控制；
写入 DACL（修改该对象自身 ACL 权限）；
写入 member 属性（把用户添加进组）；
写入 servicePrincipalName（修改 SPN，制造 Kerberoasting 攻击点）；
重置密码；

高危场景：普通域用户 A，被 ACL 授予对域管理员组的写入 member 权限。虽然 A 不属于任何高权限安全组，但是 A 可以直接把自己添加进域管理员组，实现提权。这个就是典型 ACL 滥用提权，不属于传统安全组成员权限，很多运维会忽略这种配置。

BloodHound 工具的 “Abuse ACL” 攻击路径，就是识别这类 ACL 权限漏洞。

6.2 OU 组织单元权限

OU 相当于 AD 里面的文件夹，把用户、计算机归类。GPO 组策略绑定在 OU 上面。
同时 OU 自身也有 ACL 权限。如果一个普通账号拥有某一个 OU 的写入权限，就可以修改这个 OU 下面对象属性；如果拥有 GPO 编辑权限，可以下发恶意 GPO 脚本，控制 OU 下面全部机器。

运维经常为了方便，给业务运维账号开放某个 OU 完全控制权限，如果配置不当，会造成权限溢出。

6.3 权限继承

OU 的 ACL 权限会向下继承，OU 下面所有用户、计算机自动继承上级 OU 的权限设置。上层 OU 配置错误，会影响下面成千上万个 AD 对象。

小结：判断账号权限不能只看用户属于哪个组，还要看 ACL 赋予的额外对象权限。很多真实域环境的提权，并不是依靠加入高权限组，而是滥用 ACL 权限。

7. 不同权限对应的攻击面：拿到各类权限之后攻击者能干什么

站在红队攻击者视角，梳理不同权限对应的攻击动作，理清攻击链路前置条件。

① 单台机器本地管理员权限（非域控）

Dump 本机 SAM，拿到本机本地账号哈希；
Dump lsass 内存，抓取内存驻留凭证：如果曾经有域用户（甚至域管理员）登录这台机器，内存中可以拿到域账号 hash、票据；
如果全网机器本地管理员账号密码相同，PtH 哈希传递横向到其他主机；
在本机植入后门、木马；
读取本机磁盘上的配置文件，寻找明文密码；

限制：没有直接操作域的权限，必须窃取登录本机的域高权限凭证，才能进一步向域控推进。

② 普通域用户权限

LDAP 查询：枚举域全部用户、计算机、SPN、组；
访问 SYSVOL 共享，寻找遗留 GPP 明文密码、硬编码密码脚本；
枚举 SPN，执行 Kerberoasting，爆破 TGS 票据；
参与 NTLM 中继、PetitPotam 强制认证等攻击；
寻找 ACL 配置缺陷、OU 权限缺陷进行提权；
登录允许普通域用户登录的办公主机，再从主机抓取内存凭证；

普通域用户是内网渗透非常关键的起点，很多攻击不需要管理员，普通域账号即可执行。

③ 账号拥有部分 ACL 高危权限（非域管理员组）

可以重置高权限账号密码；
可以向高权限组添加成员；
可以修改对象 SPN；
可以编辑 GPO 组策略；
实现域内提权，直接获取域管理员同等效果。

④ Domain Admins 域管理员权限

登录域控制器；
导出 ntds.dit，获取域内全部账号 NTLM 哈希；
DCSync，LDAP 目录复制获取全部凭证；
创建黄金票据、白银票据；
修改域内任意账号、GPO；
访问域内几乎所有主机管理共享，批量控机；
部署多种域持久化后门（DSRM、SID‑History、异常 GPO 等）。

⑤ Enterprise Admins 企业管理员

掌控整个森林，跨子域进行操作，获取全部森林域凭证。

8. 实战场景案例拆解，理清权限混淆带来的坑

案例 1：拿到 web 服务器本地管理员，尝试直接 RDP 域控失败

现象：攻击者拿到SRV‑WEB本地管理员，使用该账号 hash 尝试 SMB、RDP 连接域控，全部拒绝访问。
原因：域控制器不使用本地 SAM 账号认证，web 服务器本地管理员账号对域控完全无效。
可行攻击路径：在 web 服务器 dump lsass 内存，如果曾经有域管理员登录过 web 服务器，内存拿到域管理员凭证，再使用域管理员凭证访问域控。

案例 2：BloodHound 看到账号对多台机器拥有 AdminTo 权限，误以为是域管理员

现象：zhangsan 账号对 5 台业务服务器 AdminTo（本地管理员），但是不能登录域控。
解释：AdminTo 代表该域账号被添加到这 5 台机器本地管理员组，只是单台机器权限，不是域管理员身份。想要拿下域控，需要在这 5 台机器寻找域管理员登录留下的内存凭证。

案例 3：子域 Domain Admins 无法操作父域

环境：森林根域 testlab.local，子域 child.testlab.local。攻击者拿到子域 Domain Admins。
现象：无法读取根域 ntds.dit，不能登录根域控。
解释：子域 Domain Admins 只管子域，没有父域权限，需要利用域信任关系跨域攻击。

案例 4：普通域用户，没有加入任何高权限组，却可以提权到域管理员

现象：普通用户 lisi，不在 Domain Admins，但是可以把自己添加进域管理员组。
根因：AD ACL 配置错误，lisi 账号被授予 Domain Admins 组写入 member 权限。这是 ACL 滥用，不是组成员权限。

9. BloodHound 视角看权限，看懂攻击路径当中的权限含义

BloodHound 猎鹰是域渗透必备工具，很多人看不懂图谱上面权限关系，结合本文做解释。

AdminTo：代表该账号对目标计算机拥有本地管理员权限。⚠️注意：仅这一台机器，不等于域管理员。
MemberOf：代表用户属于某个安全组，比如 MemberOf Domain Admins，代表真正域管理员。
WriteDacl / WriteMember：ACL 高危权限，可以修改对象权限、组成员，属于可滥用提权路径。
GenericAll 完全控制：对用户 / 组 / OU 拥有全部控制权限，可直接提权。

实战判断账号是否是真正域管理员，优先看MemberOf -> Domain Admins，而不是看 AdminTo 关系。AdminTo 只是单台机器本地管理权限。

很多新人拿到 BloodHound 结果，看到一堆 AdminTo 就以为拿到域权限，结果测试发现无法操作域控，就是混淆 AdminTo 和 MemberOf。

10. 域环境权限常见误区汇总

❌误区 1：拥有机器本地管理员 = 域管理员。
✅纠正：本地管理员只绑定单台机器；想要域权限，需要窃取本机内存的域高权限凭证。

❌误区 2：普通域用户什么都做不了。
✅纠正：普通域用户可以 LDAP 全量信息收集、Kerberoasting、访问 SYSVOL，是内网非常重要攻击起点。

❌误区 3：把域用户加入某台服务器本地管理员，该账号升级成为域管理员。
✅纠正：只是拥有这一台机器本地权限，域层面依旧普通账号。

❌误区 4：子域 Domain Admins 自动拥有父域权限。
✅纠正：Domain Admins 仅限本域；跨域需要 Enterprise Admins 或者利用域信任漏洞。

❌误区 5：只要不在高权限组，账号就没有提权风险。
✅纠正：ACL 访问控制列表可以脱离安全组赋予高危权限，是很多企业环境忽略点。

❌误区 6：域管理员一定可以登录域内每一台机器。
✅纠正：如果目标机器组策略设置拒绝 Domain Admins 登录，域管理员也会被拦截，现实极少配置，但存在这种可能性。

❌误区 7：域控制器上面也可以使用本地 Administrator 账号登录。
✅纠正：提升为域控之后，SAM 本地账号失效；只有 DSRM 恢复模式账号，平时默认禁用。

11. 蓝队运维视角：域权限收敛最佳实践

从防御角度，针对权限做安全加固，收缩攻击面。

严格管控 Domain Admins、Enterprise Admins 组成员数量
尽量少的账号加入域管理员组，日常运维不要使用域管理员账号登录普通业务服务器、员工办公 PC。

风险：域管理员登录普通服务器，如果服务器被攻陷，攻击者 dump 内存直接拿到域管理员凭证，整个域沦陷。

禁止业务账号随意加入服务器本地管理员组
最小权限原则，业务账号需要管理服务器，仅给必要机器分配本地管理员权限，避免大范围 AdminTo 关系。杜绝全网服务器本地管理员账号密码一致。
关注 ACL 访问控制权限，定期审计 AD 对象 ACL
定期使用工具扫描异常 WriteDacl、GenericAll 高危 ACL 权限，很多运维只审计安全组成员，忽略 ACL。
限制高权限域账号登录范围
通过组策略，限制 Domain Admins 只允许登录域控制器，禁止登录业务服务器和员工终端。避免高权限域账号凭证遗留在普通服务器 lsass 内存当中。这是非常关键防护手段，防止跳板窃取域管理员凭证。
审计高危内置组：Account Operators、Print Operators、Group Policy Operators
非业务需要，不要往这些组放入普通业务账号。
区分运维账号，日常运维使用普通域账号，执行域管理操作才临时使用域管理员账号，用完注销会话，减少凭证驻留内存时间。
定期 BloodHound 审计域权限关系，提前发现危险攻击路径。

最重要安全理念：域管理员凭证不应该出现在域控以外的机器内存里面。一旦域管理员登录普通服务器，这台服务器就等同于域控同等风险。

12. 学习总结

AD 域同时运行两套权限体系：本地权限绑定单台主机，域权限绑定整个域。

本地管理员：单台机器至高权限，但对域控、其他服务器没有原生权限，风险点在于窃取登录本机的域高权限账号内存凭证。
普通域用户：域的基础身份，虽然权限不高，但可以执行大量信息收集与攻击，是内网渗透常见起点。
Domain Admins 域管理员：管控本域全部资源，可以操控域控；注意子域域管理员不能自动访问父域。
Enterprise Admins 企业管理员：管控整个 AD 森林全部域。
除安全组成员之外，ACL 访问控制列表是另外一套重要权限模型，容易产生配置缺陷导致提权。

内网域渗透很多失败，不是工具的问题，而是账号权限达不到攻击技术的前置条件。学习各类域攻击技术前，先判断当前手里是什么权限，能干什么，不能干什么。理解权限边界之后，再去学习 Kerberoasting、DCSync、黄金票据等攻击，才能够真正理解攻击链路逻辑，而不是单纯复制粘贴命令。

最后

关于网络安全技术储备

网络安全是当今信息时代中非常重要的一环。无论是找工作还是感兴趣（黑客），都是未来职业选择中上上之选，为了保护自己的网络安全，学习网络安全知识是必不可少的。

如果你是准备学习网络安全（黑客）或者正在学习，下面这些你应该能用得上：

①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的网络安全学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】