链接的 GPO

说明

源 GPO 链接到域或组织单位 (OU) 等目标可链接容器。这意味着源 GPO 可以在目标中包含的设备和用户上分配设置和运行程序。源 GPO 还可通过“继承 GPO”关系应用到其下面的容器中的对象。

最终，GPO 会破坏它应用到的设备和用户。

渗透利用

攻击者必须首先通过另一个攻击关系破坏源 GPO。

然后，他们会采用多种技术，对目标及其中的设备和用户执行恶意操作。示例如下：

  • 滥用合法的“即时计划任务”在设备上执行任意脚本。

  • 在所有设备上添加具有管理权限的新本地用户

  • 安装 MSI 程序

  • 禁用防火墙或杀毒软件

  • 授予更多权限

  • 等

攻击者可以使用“组策略管理”等管理工具或 PowerSploit 等专用黑客工具，通过手动编辑 GPO 的内容对其进行修改。

修复

在大多数情况下，将 GPO 链接到可链接容器属于正常且合法的行为。但是，此链接会扩大其出现位置及其所属容器中的攻击面。

因此，为了降低风险，应尽可能将 GPO 链接到组织单位层次结构中的最低级别。

此外，GPO 需要防止攻击者在未经授权的情况下进行修改，以免将其暴露给其他攻击关系。

另请参阅