排查域后门：DSRM 后门、异常组策略、异常 SPN、异常证书检测-平芜编程栈

🔒免责声明：本文仅用于企业 AD 域安全排查、红蓝对抗、应急响应学习，所有 PowerShell 命令请优先在测试环境验证；发生真实入侵事件，优先做好快照备份，禁止对未授权的域环境执行检测操作。

前言

当攻击者拿下域管理员权限之后，第一件事情不是修改密码，而是部署各类AD 持久化后门。即便后续运维人员修改全部域账号密码、清理可疑账号，攻击者依旧可以依靠域后门继续控制整个活动目录环境。很多企业发生入侵之后，只删除可疑账号就认为完成处置，但是攻击者埋下的隐蔽后门没有清除，没过多久攻击者再次重新接管域环境，导致安全事件反复爆发。

域后门分为很多种类：DSRM 目录恢复模式后门、恶意修改的组策略 GPO、伪造异常 SPN 服务主体名称、AD CS 证书服务异常证书 / 不安全证书模板，还有 AdminSDHolder 权限篡改、krbtgt 黄金票据后门等。这类后门隐蔽性极强，普通用户管理控制台很难直观发现，大部分后门不创建新账号，只是修改现有对象属性，日常运维极易被忽略。

本文面向应急响应工程师、等保测评人员、内网安全运维人员，围绕四大高频域后门：DSRM 后门、异常组策略、异常 SPN、异常证书，完整讲解攻击原理、现象特征、PowerShell 排查命令、日志审计方法、清除修复方案，同时补充应急处置完整流程，读完可以直接落地开展域环境后门排查。

一、域持久化后门基础认知

1.1 什么是 AD 域持久化后门

AD 持久化，就是攻击者获取域权限之后，建立长期可控的访问通道，不受域账号密码重置影响。就算所有域用户全部改密，攻击者依旧能够获取域控制器权限。
常见域后门分类：

DSRM 账号后门（域控制器本地管理员后门）
组策略 GPO 后门（下发脚本、计划任务，全域执行恶意代码）
异常恶意 SPN（白银票据后门，伪造服务 SPN）
AD‑CS 异常证书、不安全证书模板（证书后门，证书有效期可达数年）
AdminSDHolder 权限篡改，普通账号获得高权限继承
KRBTGT 哈希窃取，黄金票据持久化
权限委派篡改（RBCD、非约束委派恶意配置）

很多后门不会新建账号，只是修改对象属性，所以单纯查看域用户列表完全发现不了，必须读取对象属性、ACL 权限、注册表、审计日志进行深度排查。

1.2 应急排查前置准备工作

在域控制器上安装 RSAT‑AD PowerShell 模块，全部检测命令依赖 AD 模块；
开启完整高级安全审计，没有审计日志很多后门无迹可寻；
排查前对 AD 数据库做系统状态备份，防止误操作破坏域环境；
日志转发 SIEM，优先留存日志证据，不要直接清理；
尽量使用离线快照比对，对比正常环境基线，基线对比是发现异常后门最高效手段。

重点提醒：应急响应中，只删除可疑账号无法根除域后门，必须完成本文四类对象的完整审计。

二、DSRM（目录服务恢复模式）后门检测与处置

2.1 DSRM 后门原理

每一台域控制器都存在一个本地管理员账号，叫做 DSRM 账号（Directory Services Restore Mode），该账号不属于域账号，属于域控本机本地账号。默认情况下 DSRM 账号仅在域控进入目录恢复安全模式时登录使用，AD 正常运行的时候该账号无法网络登录域控机器。

攻击者拿到域管理员权限后，可以做两件事完成后门部署：

修改 DSRM 管理员账号密码，设置攻击者可控密码；
修改注册表键值DsrmAdminLogonBehavior设置为 2，允许 DSRM 账号在 AD 正常运行状态下进行网络登录（RDP、SMB 均可登录域控本机）。

完成之后，攻击者可以使用 DSRM 账号 RDP 登录域控制器。即便域内所有域账号全部重置密码，DSRM 账号密码不受任何影响，后门依旧有效。

注册表键说明（域控注册表路径）
HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\DsrmAdminLogonBehavior

0：默认，仅 DSRM 恢复模式登录；
1：AD 停止服务的时候允许登录；
2：高危！AD 正常运行时，允许 DSRM 账号网络登录，这就是 DSRM 后门标记。

很多运维完全不知道这个注册表项，日常不会查看，后门非常隐蔽。

2.2 DSRM 后门完整排查手段

方式 1：检查注册表（每一台域控都要执行，多域控每台单独检测）

# 在每台域控执行，查看DsrmAdminLogonBehavior键值 Get‑ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\' -Name DsrmAdminLogonBehavior -ErrorAction SilentlyContinue

如果返回值等于 2，确认存在 DSRM 后门。正常干净域控，该注册表键默认不存在，或者值等于 0。

注意：多域控环境，攻击者可能只修改其中一台域控的注册表，必须遍历全部域控制器逐个检查，不能只查一台。

方式 2：审计日志事件 ID 4794

事件 ID4794代表 DSRM 管理员账号密码被修改，只要攻击者重置 DSRM 密码，就会生成该安全事件，属于高危告警信号。
排查域控制器安全日志，检索 4794 事件，查看事件发生时间、操作账号、来源工作站。正常业务场景极少修改 DSRM 密码，如果出现陌生时间点 4794 事件，高度怀疑 DSRM 后门部署行为。

方式 3：检查 DSRM 账号登录事件

DSRM 账号登录域控，登录账号名是Administrator，登录类型 10（RDP），但是该账号 SID 是本地 SAM SIDS‑1‑5‑32‑500，不是域管理员 SID。
检索安全日志中登录 SID 为 S‑1‑5‑32‑500 的 RDP 登录记录，确认是否出现 DSRM 账号远程登录行为。

2.3 DSRM 后门清除修复步骤

注册表清除后门标记：

# 将值修改为0，或者直接删除这个注册表项 Set‑ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\' -Name DsrmAdminLogonBehavior -Value 0 -Type DWord

修改所有域控制器 DSRM 账号密码，每台域控 DSRM 密码建议设置不同高强度密码。
修改 DSRM 密码命令（域控执行）：

ntdsutil set dsrm password reset password on server null

审计所有域控，确认注册表键不存在或者等于 0；
保存 4794 相关全部日志，作为入侵证据；
记录每台域控 DSRM 密码，做好密码文档保管。

业务背景：DSRM 密码是提升域控时候设置的，绝大多数企业部署完域控十几年从来没有修改过 DSRM 密码，这是巨大安全隐患。建议企业定期轮换全部域控制器 DSRM 管理员密码。

2.4 DSRM 后门常见误区

误区 1：DSRM 是域账号，改域管理员密码就能清除后门。

错误。DSRM 是域控制器本机本地账号，独立于 AD 域库，修改域账号密码完全不会影响 DSRM 密码。

误区 2：只检查一台域控就完事。

多域控环境，攻击者只修改单台域控注册表，其他域控不受影响，需要全部域控逐个校验。

三、异常组策略 GPO 后门检测与清理

3.1 组策略 GPO 后门攻击原理

组策略 GPO 是 AD 域批量下发配置的核心组件，GPO 存储在 SYSVOL 共享文件夹当中。攻击者拿到域管理员权限，利用组策略实现持久化后门有多种手段：

新建恶意 GPO，配置登录脚本、开机脚本、计划任务，链接到域根或者域控 OU，域内全部主机开机自动执行恶意脚本；
篡改现有正常 GPO，不新建 GPO，修改原有业务组策略，追加恶意脚本，不容易被发现；
篡改 GPO 对象 ACL 权限，给普通低权限账号授予 GPO 编辑权限，后续普通账号直接修改组策略执行代码；
在 GPO 首选项groups.xml写入账号密码，遗留明文凭证；
通过组策略给所有机器添加本地管理员账号后门。

GPO 后门危害极大，只要 GPO 生效，域内成千上百台主机自动执行恶意载荷。很多应急事件中，运维删除后门账号，但是恶意 GPO 没有清理，机器重启之后自动重新创建后门账号。

3.2 GPO 后门排查清单与 PowerShell 脚本

3.2.1 第一步：枚举全部 GPO，筛选异常陌生 GPO 名称

Import‑Module GroupPolicy Get‑GPO -All | Select‑Object DisplayName,Id,GpcFileSysPath,CreationTime,ModificationTime | Sort‑Object ModificationTime

重点观察：

创建时间、修改时间与入侵时间吻合的 GPO；
名字随机、无业务含义、名字空白的 GPO 对象；
很久没有修改的业务 GPO，在入侵时间点发生修改。

3.2.2 第二步：审计所有 GPO 的 ACL 权限（高危！普通账号拥有编辑权限）

攻击者经常修改 GPO 的访问控制列表，给普通域用户赋予Edit编辑权限。

Get‑GPO -All | ForEach‑Object { $gpoGuid = $_.Id Get‑GPPermission -Guid $gpoGuid -All | Where‑Object {$_.Permission -match "Edit"} }

正常情况，只有 Domain Admins、Enterprise Admins、System 账号具备 GPO 编辑权限。如果普通域用户、域用户组、Authenticated Users 拥有编辑权限，属于恶意异常配置。

3.2.3 第三步：扫描 SYSVOL 共享查找恶意脚本、groups.xml

SYSVOL 路径：\\你的域名\SYSVOL\域名\Policies\

检索 SYSVOL 下面所有 groups.xml 文件（经典遗留密码文件）：

Get‑ChildItem -Path "\\contoso.com\SYSVOL\contoso.com\Policies\" -Recurse -Filter groups.xml -ErrorAction SilentlyContinue

只要检索到 groups.xml，代表曾经通过组策略首选项保存账号密码，需要立刻处置。

扫描 SYSVOL 下面存在的 bat、ps1、vbs 脚本，排查陌生恶意脚本：

Get‑ChildItem -Path "\\contoso.com\SYSVOL\contoso.com\Policies\" -Recurse -Include *.ps1,*.bat,*.vbs,*.cmd -ErrorAction SilentlyContinue

检查脚本修改时间，比对入侵时间点，打开查看脚本内容是否存在后门、下载执行、添加账号等恶意逻辑。

3.2.4 第四步：检查 GPO 脚本配置（开机脚本、登录脚本、计划任务）

GPO 分为计算机配置脚本（开机脚本），用户配置脚本（登录脚本）。
每个 GPO 的脚本存储目录：
\\domain\SYSVOL\domain\Policies\{GPO‑GUID}\Machine\Scripts\Startup
\\domain\SYSVOL\domain\Policies\{GPO‑GUID}\User\Scripts\Logon

遍历目录，查看是否存在陌生脚本文件。

3.2.5 审计日志事件 ID，监控 GPO 对象修改

事件 ID	含义
5136	目录对象修改，GPO 对象属性修改；
5137	新建组策略对象 GPO；
5138	删除 GPO 对象；
5139	GPO 链接变更，把 GPO 链接到域、OU。

检索入侵时间附近 5136、5137、5139 事件，查看哪个账号操作 GPO，对应的 GPO GUID，定位恶意组策略。

3.3 GPO 后门清理修复流程

如果是攻击者新建陌生恶意 GPO：直接备份后删除 GPO；
如果是篡改原有正常业务 GPO：恢复 GPO 备份版本，删除里面恶意脚本、恶意计划任务配置；
修复 GPO 的 ACL 权限，删除普通用户的 Edit 编辑权限，只保留管理员和 System 权限；
删除 SYSVOL 当中的恶意脚本、groups.xml；
执行命令gpupdate /force在域控强制组策略更新；
跟踪终端机器日志，确认不再下发恶意配置；
废弃不用的 GPO 及时删除，减少攻击面。

重要提醒：很多企业没有 GPO 备份，发生篡改后无法回滚，强烈建议定期备份全部组策略对象。

四、异常 SPN（服务主体名称）后门排查

4.1 SPN 异常后门原理

SPN ServicePrincipalName 服务主体名称，Kerberos 协议用于标识域内服务，MSSQL、HTTP、CIFS 服务都需要注册 SPN。

攻击者利用 SPN 实现后门两种场景：

白银票据（Silver Ticket）持久化后门：攻击者给普通域账号手动注册伪造 SPN，例如CIFS/DC01.contoso.com。攻击者拿到该账号 NTLM 哈希，就可以制作白银票据，访问域控 CIFS 服务，不需要域管理员账号。这个账号本身权限很低，只是注册异常 SPN，肉眼看账号完全正常，极具隐蔽性。
业务账号被错误注册大量无关 SPN，引发 Kerberoasting 风险，普通域成员即可请求 TGS 票据离线爆破哈希。

关键点：普通域用户默认权限，就可以给自己账号写入 SPN 属性，不需要管理员权限，所以该后门非常容易部署。很多运维完全不会去检查用户对象的 ServicePrincipalName 属性。

正常业务：MSSQL 服务账号注册 MSSQL SPN；机器账号自动注册 HTTP、CIFS 等机器 SPN。普通员工用户账号，默认不应该存在 SPN 属性。

4.2 SPN 完整排查方法

4.2.1 导出域内全部对象 SPN 清单（用户对象 + 计算机对象）

Import‑Module ActiveDirectory # 查询所有带有SPN属性的域对象，区分用户和计算机 Get‑ADObject -Filter {ServicePrincipalName -ne $null} -Properties ServicePrincipalName,ObjectClass | Select‑Object Name,ObjectClass,ServicePrincipalName | Sort‑Object ObjectClass

输出结果区分 ObjectClass：user（域用户） /computer（计算机机器账号）。

重点审计user 类型（普通域用户）身上绑定的 SPN。绝大多数普通业务员工账号，不应该携带任何 SPN。如果普通用户账号存在大量 SPN，高度可疑。

4.2.2 筛选危险 SPN（白银票据后门特征）

重点关注用户对象上出现下面 SPN：

CIFS/shturl.cc/hX域控 CIFS 共享服务
HTTP/shturl.cc/hX域控 HTTP 服务
LDAP/shturl.cc/hXLDAP 服务

普通域用户身上绑定域控 CIFS、LDAP、HTTP 的 SPN，几乎可以判定是白银票据后门。机器账号拥有这类 SPN 属于正常现象。

4.2.3 审计 SPN 属性修改日志

AD 目录服务审计开启后，事件 ID 4662代表目录对象属性写入操作。监控属性ServicePrincipalName的修改事件，可以发现攻击者新增、修改 SPN 行为。
日志可以看到哪个账号、什么时间给某个对象写入 SPN 属性。

4.3 异常 SPN 后门清除修复

定位可疑域用户对象，清除异常 SPN 属性。

#清除指定账号全部SPN Set‑ADUser testuser -Clear ServicePrincipalName

注意：业务服务账号（MSSQL 等）不要盲目全部清除 SPN，会导致业务 Kerberos 认证故障，要区分业务正常 SPN 和伪造后门 SPN。

建立基线：整理业务合法 SPN 资产清单，定期对比，出现新增 SPN 及时告警。
限制普通用户随意写入自身 SPN 属性，修改 AD 对象 ACL，高安全环境下做限制。
开启 4662 目录对象审计，监控 SPN 属性变更行为。

4.4 SPN 排查踩坑点

机器账号（computer 对象）自带大量 SPN 属于正常，不要误删机器账号 SPN，会导致域机器 Kerberos 业务异常。只需要重点审计 user 用户对象上面异常 SPN。

五、AD‑CS 异常证书、不安全证书模板后门检测

5.1 证书后门原理

AD‑CS 活动目录证书服务，企业用于颁发域内数字证书。证书后门是现在红队非常偏好的持久化手段，证书有效期通常 1‑5 年，就算账号密码全部重置，证书依旧有效，可以通过 PKINIT Kerberos 证书认证登录域控。

攻击者两种攻击路径：

利用不安全证书模板 ESC1‑ESC8 漏洞：低权限用户申请证书，指定 SAN 为域管理员账号，拿到证书冒充域管理员登录；
攻击者拿到域管理员权限，申请用户认证证书作为后门持久化，证书保存在本地，长期有效；
篡改证书模板 ACL 权限，普通用户可以修改模板配置，把正常模板改成 ESC1 高危模板。

很多企业部署 AD‑CA 证书服务之后，几乎不维护证书模板，大量高危配置常年存在。就算没有被入侵，本身就存在漏洞。

证书后门隐蔽点：证书文件保存在攻击者本地，AD 服务器不一定留存恶意证书文件，但是证书模板配置错误会永久保留风险。

5.2 AD‑CS 证书服务完整排查清单

需要 RSAT AD‑CS 管理组件，Certipy 工具也可以做批量检测。

5.2.1 枚举全部证书模板，排查 ESC1 高危模板

ESC1 模板条件：

模板 EKU 扩展密钥用法包含Client Authentication(1.3.6.1.5.5.7.3.2)或者智能卡登录；
模板开启标志CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT（申请者可以提供主题 SAN）；
普通域用户拥有 Enroll 注册该模板的权限。

PowerShell 查询证书模板：

Get‑ADObject -Filter {objectClass -eq "pKICertificateTemplate"} -Properties * | Select‑Object Name,flags,pKIExtendedKeyUsage

检查 flags 属性，如果包含ENROLLEE_SUPPLIES_SUBJECT标记，同时 EKU 包含客户端认证，就是 ESC1 风险模板。

5.2.2 审计证书模板 ACL 权限

检查是否普通域用户、域用户组拥有Enroll注册权限、WriteDacl、WriteProperty写权限。普通账号具备写权限对应 ESC4 漏洞，攻击者可以篡改模板属性开启 ESC1 风险。

5.2.3 审计 CA 证书服务器本身 ACL 权限 ESC7

如果普通用户拥有 CA 服务器的ManageCA、ManageCertificates权限，对应 ESC7 高危漏洞，攻击者可以完全控制证书颁发机构，下发任意证书。

5.2.4 审计证书颁发事件日志

证书服务事件 ID：

4886：证书注册请求提交；
4887：证书请求批准，成功颁发证书；
4888：证书请求拒绝。

检索入侵时间附近 4887 事件，查看颁发证书的申请人、证书主题 SAN，排查是否申请冒充域管理员的异常证书。

日志存放位置：应用程序和服务日志‑Microsoft‑Windows‑CertificateServices‑CertificationAuthority‑Operational。

5.2.5 检索已经颁发的证书

CA 服务器可以查看已经颁发证书列表，检查是否存在异常证书，主题 SAN 填写域管理员账号。
如果发现攻击者已经申请恶意证书，需要立刻吊销该证书。

5.3 证书后门修复处置

ESC1 模板：关闭ENROLLEE_SUPPLIES_SUBJECT（申请者提供主题）标记，除非业务硬性需要；
收紧模板 Enroll 注册权限，不要给 Authenticated Users、Domain Users 通用注册权限；
修复模板 ACL，普通用户移除 WriteProperty、WriteDacl 写权限；
ESC7 漏洞：普通账号移除 CA 服务器 ManageCA、ManageCertificates 管理权限；
ESC8 加固：证书 Web 注册站点启用 EPA 扩展保护，关闭 HTTP NTLM 中继风险；
如果确认发生证书后门攻击，吊销攻击者申请的全部恶意证书，发布 CRL 证书吊销列表；
业务上尽量缩短证书有效期，不要设置数年超长有效期。

重要：仅仅删除 CA 服务器记录没用，攻击者本地如果导出证书 pfx，必须执行证书吊销操作，否则证书依旧可以使用。

六、其他关联域后门简要补充

除了上面四类重点后门，应急排查还需要关注：

AdminSDHolder 权限篡改：攻击者修改 AdminSDHolder 对象 ACL，普通账号获得高权限组继承权限，不会新建账号，隐蔽后门；审计事件 ID5136 AdminSDHolder 对象修改；
KRBTGT 账号黄金票据后门：攻击者窃取 krbtgt 哈希制作黄金票据。安全事件发生后，必须连续两次重置 krbtgt 账号密码，作废历史票据密钥；
异常 RBCD 资源约束委派、非约束委派对象，定期审计所有对象 TrustedForDelegation 属性；
可疑的受信任域、外部信任关系，攻击者添加恶意域信任实现横向。

七、完整应急排查操作流程（真实入侵事件执行顺序）

证据优先：域控制器导出完整安全日志、证书服务日志，远端 SIEM 留存，不要先清理对象；
做 AD 系统状态备份，快照备份域控；
排查 DSRM 后门：遍历所有域控检查 DsrmAdminLogonBehavior 注册表，检索 4794 事件；
组策略 GPO 审计：导出全部 GPO 清单，审计 ACL，扫描 SYSVOL 脚本和 groups.xml，查看 5136‑5139 事件；
SPN 审计：导出全部对象 SPN，重点排查普通 user 对象上异常 CIFS/LDAP/HTTP 的 SPN；
AD‑CS 证书审计：检查证书模板 ESC 风险，审计 4887 证书颁发事件，检查已颁发证书，必要时吊销恶意证书；
额外审计 AdminSDHolder、委派、krbtgt 账号状态；
清除各类后门配置；
连续两次重置 krbtgt 账号密码；
修改 DSRM 所有域控密码；
高风险域账号全部重置密码；
全域机器查杀恶意持久化（计划任务、服务、LSASS 后门）；
建立 AD 安全基线，后续定期巡检。

八、常用完整 PowerShell 汇总（可直接复制执行，测试环境优先）

#1 检查DSRM注册表（单台域控） Get‑ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\' -Name DsrmAdminLogonBehavior -ErrorAction SilentlyContinue #2 导出全部GPO清单 Import‑Module GroupPolicy Get‑GPO -All | Select‑Object DisplayName,Id,GpcFileSysPath,CreationTime,ModificationTime #3 查找SYSVOL下groups.xml Get‑ChildItem -Path "\\contoso.com\SYSVOL\contoso.com\Policies\" -Recurse -Filter groups.xml -ErrorAction SilentlyContinue #4 导出全部SPN对象 Import‑Module ActiveDirectory Get‑ADObject -Filter {ServicePrincipalName -ne $null} -Properties ServicePrincipalName,ObjectClass | Select‑Object Name,ObjectClass,ServicePrincipalName #5 导出全部证书模板 Get‑ADObject -Filter {objectClass -eq "pKICertificateTemplate"} -Properties * | Select‑Object Name,flags,pKIExtendedKeyUsage