带登录脚本的管理员账号有多危险：ScriptSentry与GPO劫持攻击链完整剖析

带登录脚本的管理员账号有多危险ScriptSentry与GPO劫持攻击链完整剖析【免费下载链接】ScriptSentryScriptSentry finds misconfigured and dangerous logon scripts.项目地址: https://gitcode.com/gh_mirrors/sc/ScriptSentryScriptSentry 是一款免费、开源的登录脚本安全审计工具一条 PowerShell 命令即可运行。它帮助 IT 管理员和安全工程师快速识别 Windows AD 域中的危险配置可被任意用户写入的登录脚本、脚本里的明文口令以及最致命的——绑定了登录脚本的管理员账号。结合它的审计结果我们还能一步步拆解 GPO 劫持的完整攻击链。为什么带登录脚本的管理员是高危信号登录脚本logon script是 Windows 域环境的常规操作用户登录时系统会自动执行策略中scriptPath属性指向的脚本通常用于映射网络驱动器、推送软件等。问题在于脚本以谁的身份运行攻击者就能以谁的身份执行代码。普通用户的登录脚本被篡改 → 普通权限 foothold管理员如 Domain Admins账号的登录脚本被篡改 → 直接以管理员身份执行恶意代码。更隐蔽的一点是很多环境里管理员账号本身并不常登录但脚本照样会在他们偶尔登录时触发防守方很难从日志里发现异常。因此管理员 登录脚本这个组合本身就是 PrivSec权限维护审计中的重点目标。图ScriptSentry —— 专盯登录脚本配置缺陷的哨兵GPO 劫持攻击链完整剖析攻击者的三条路径下面结合 ScriptSentry 在真实环境中的审计输出见 README.md 中的 Example Output拆解三条最常见的攻击链。攻击链 A写入脚本 → 管理员级执行权限如果 SYSVOL/NETLOGON 下的登录脚本或者脚本中引用的 UNC 共享对Domain Users、Authenticated Users甚至Everyone开放了Write / Modify / FullControl权限攻击链条就是攻击者凭任意普通域账号登录直接改写登录脚本内容如加入反弹 Shell 或计划任务下次目标用户尤其是管理员登录时恶意代码以其身份执行。ScriptSentry 会报告以下类型的不安全权限UnsafeLogonScriptPermission登录脚本本身可被写入UnsafeGPOLogonScriptPermissionGPO 指定的登录脚本可被写入UnsafeUNCFolderPermission/UnsafeUNCFilePermission脚本引用的 UNC 共享/文件可被写入UnsafeNetlogonSysvolNETLOGON / SYSVOL 共享本身权限过宽审计输出示例中一条\\eureka.local\sysvol\...\scripts\test.cmd对Domain Users开放 Modify 权限就意味着域内任何普通用户都能替换这段代码。攻击链 B不存在的共享 DNS 欺骗 → 管理员凭据落地这是更隐蔽也更致命的一条链。脚本中经常有类似net use的映射语句如果指向的服务器已经不存在DNS 解析失败ScriptSentry 会将其报告为NonexistentShare。攻击者看到这条记录后可以在域内 DNS 上注册一个同名记录内部 DNS 欺骗把不存在的服务器指向自己的机器目标用户登录时脚本发起net use访问该服务器攻击者伪造 SMB 响应通过 NTLM Relay 或类似手法捕获登录凭据。如果这条脚本恰好属于某个管理员账号scriptPath已配置ScriptSentry 会直接标记为ExploitableLogonScript并列出受影响的管理员 DN——这意味着攻击成功后拿到的就是管理员凭据。审计示例中的ExploitableLogonScript记录就指向了CNit admin这样的管理员账户。 判断标准很简单DNS列为 No服务器无法解析且Exploitable为 Yes属于应最高优先级处置的项。攻击链 C脚本里的明文口令 → 直接横向移动IT 运维为了省事经常把net use f: \\srv01\share /user:itadmin Password!或 PowerShell 的-AsPlainText口令直接写进登录脚本。ScriptSentry 的Find-LogonScriptCredentials会扫描全部脚本报告为Credentials类型。这些口令往往属于服务账号或高权限账号拿到脚本内容的人任何能读取 SYSVOL 的人可直接用于横向移动。完整登录脚本审计ScriptSentry 的 8 类风险扫描工具的全部核心逻辑集中在 Invoke-ScriptSentry.ps1 中执行顺序如下#扫描项对应报告类型风险含义1收集全森林各域的登录脚本.bat/.vbs/.ps1/.cmd/.kix—审计基础数据2解析 GPO 的scripts.ini提取 GPO 登录脚本UnsafeGPOLogonScriptPermissionGPO 派发的脚本可被写入3提取脚本中的 UNC 路径、映射驱动器UnsafeUNCFolderPermission等脚本依赖的共享权限过宽4校验共享是否存在DNS 解析NonexistentShare/ExploitableLogonScriptDNS 欺骗可利用面5检查脚本/共享 ACLFullControl/Modify/WriteUnsafeLogonScriptPermission普通用户可篡改代码6正则匹配明文口令/user:、-AsPlainTextCredentials凭据直接泄露7递归展开全部管理员组成员AdminLogonScript管理员绑定了登录脚本8交叉比对管理员 不可解析共享ExploitableLogonScript可被利用的管理员凭据链其中安全用户白名单排除了 SYSTEM、Domain Admins 等预期高权限主体只对普通用户/组持有的写权限告警减少噪音。快速上手三步完成一次域内登录脚本审计前提在一台已加入域的 Windows 机器上以有域内查询权限的账号运行 PowerShell并能访问各域的 SYSVOL/NETLOGON 共享。第 1 步获取脚本从项目仓库下载Invoke-ScriptSentry.ps1建议在测试环境先审阅一遍再上生产脚本会发起 DNS 解析和 SMB 访问。第 2 步一键执行审计# 控制台直接输出全部 8 类风险 Invoke-ScriptSentry第 3 步导出结果归档# 输出到文本文件 Invoke-ScriptSentry | Out-File c:\temp\ScriptSentry.txt # 每类风险导出独立 CSV便于录入工单系统 Invoke-ScriptSentry -SaveOutput $true整个审计过程是只读的它只做 LDAP 查询、SMB ACL 读取、文件内容和 DNS 解析不会修改域内任何对象可以放心在生产环境执行。加固清单把审计发现变成整改动作对照 ScriptSentry 的输出按以下优先级处置即可显著降低 GPO 劫持风险优先ExploitableLogonScript命中的管理员——删除或修正其登录脚本恢复共享收敛 DNS 变更权限高Credentials中的明文口令——全部改为凭据管理器/受保护的 GPO 凭据高UnsafeLogonScriptPermission/UnsafeGPOLogonScriptPermission——脚本 ACL 收敛到仅 System 和 DC 账户组可写中UnsafeNetlogonSysvol——NETLOGON/SYSVOL 保持默认最小权限中NonexistentShare——清理脚本中失效的net use目标或恢复对应共享流程将管理员不配置登录脚本写入变更规范每季度用 ScriptSentry 回归审计一次。写在最后GPO 劫持不是理论攻击——它只依赖一个被遗忘的写权限、一条指向已下线服务器的net use或一行图省事写下的明文口令。ScriptSentry 的价值在于把这类配置债一次性全部暴露出来一个单文件 PowerShell 脚本、零依赖、只读、五分钟出报告。把它放进你的域安全巡检清单下一次渗透测试或红蓝对抗之前先跑一遍你会发现带登录脚本的管理员账号有多危险而修复它又有多简单。️【免费下载链接】ScriptSentryScriptSentry finds misconfigured and dangerous logon scripts.项目地址: https://gitcode.com/gh_mirrors/sc/ScriptSentry创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考