添加成员

源安全主体可将其自身（经过验证的写入权限）或任何人（写入属性权限）添加至目标组的成员，并从授予该组的访问权限中受益。执行此操作的恶意安全主体将会创建“成员归属”攻击关系。

渗透利用

危害源安全主体的攻击者只需通过 net group/domain 等本机 Windows 命令、Add-ADGroupMember 等 PowerShell、Active Directory 用户和计算机等管理工具或 PowerSploit 等专用黑客工具来编辑目标组的成员属性。

修复

如果源安全主体不需要向目标组添加成员的权限，则必须删除此权限。

若要修改目标组的安全描述符，请执行以下操作：

  1. 在 Active Directory 用户和计算机中，右键单击属性 > 安全性。

  2. 删除“写入成员”、“写入所有属性”、“完全控制”、“所有经过验证的写入”、“添加/删除自身作为成员”等权限。

注意：组可以继承 Active Directory 树中更高级别对象的权限。

另请参阅