域与活动目录
域是一种逻辑的组织形式
活动目录是实现域的方法
域树与森林
若组织的网络环境足够庞大与复杂。则在AD中可分配数个网域。而网域间需要建立关系，将这种关系阶级化，则为网域树(Domain Tree).
在多网域环境下，不同网域之间会需要交换与共享资料，这时候需要一个角色为不同网域间的资讯交换角色，同时必须遵循AD树状结构规范，因此微软在多网域之间建立一个中介用的角色，称为森林(Forest)，一个组织最多只能有一个Forest.
域控制器的搭建
https://blog.csdn.net/xiezuoyong/article/details/9446747
https://jingyan.baidu.com/article/6dad5075cc5d63a123e36e24.html
https://jingyan.baidu.com/article/1e5468f900946e484861b77d.html
登录到域控制器
域内环境主机在登录时，在登录到选项下拉框有两个选项，一个是此计算机，本地登录，另一个是域。
而等录域控制器时，下拉框只有域选项。DC的主机本地账户会被禁用，只能登录到域中。
SYSVOL
SYSVOL是存储域公共文件服务器副本的共享文件夹，它们在域中所有的域控制器之间复制。Sysvol文件夹是安装AD时创建的，它用来存放GPO，Script等信息。同时，存放在Sysvol文件夹中的信息，会复制到域中所有的DC上。
ntds.dit
活动目录数据库，Active Directory域数据库存储在ntds.dit文件中（默认存储在c:WindowsNTDS中,AD数据库是Jet数据库引擎，它使用提供数据存储和索引服务的可扩展存储引擎（ESE）ESE级索引使对象属性可以快速定位。ESE确保数据库符合ACID（原子性，一致性，隔离性和持久性） – 交易中的所有操作完成或不执行。AD ESE数据库非常快速和可靠。
域与Kerberos
Kerberos是希腊神话中看守地狱大门的三头猛犬的名字，这只猛犬除了比一般的狗多出两个头外，还有喷火与喷硫酸的特异功能
Kerberos是一种双向身份认证协议。该协议经常被用在活动目录进行身份认证。
KDC
秘钥分发中心，负责管理与发放票据，记录授权
KDC有两个服务组成：身份验证服务(Authentication Server)-AS和票据授予服务(Ticket Granting Server)-TGS
TGT
TGT(Ticket Granting Ticket)：由身份认证服务授予的票据，用于身份认证，存储在内存中，默认有效期为10小时。
委托人(principal)
委托人(principal)是一个具有唯一标识的实体，可以是一台计算机或一项服务，通过KDC颁发的票据来进行通信。
委托人可分为两类：用户和服务。
服务主体名称(Server Principal Naame)-SPN
用于域中的服务和计算机账户
Kinit
Kerberos认证命令，可以使用密码或者kettab
Realm
Kerberos的一个管理域，同一个域中的所有实体共享一个数据库。
keytab
以文件形式呈现，存储了一个或者多个Principal的长期key，用途和密码类似，用于kerberos认证登录；其存在的意义在于不需要明文存储密码，和程序交互时候不需要人为交互来输入密码。
黄金票据(Golden Ticket)
如果攻击者能够攻陷KDC和提取KRBTGT散列值。然后利用这些有限信息，攻击者能够为委托人生成任意的TGT。Mimikatz工具把这种特性称之为“万能票据”,也称为黄金票据。
VSS卷影副本
卷影副本，也称为快照，是存储在DPM服务器上的时间点副本。
组策略
组策略使管理员能够管理Active Directory中的计算机和用户。组策略保存为组策略对象(GPO)
组策略默认情况下每90分钟可包括安全选项，注册表项，软件安装及启动和关闭脚本以及域成员刷新组策略设置。
lsass
lsass.exe是系统进程，用于本地安全认证服务器，她为winlogon服务的用户验证生成一个进程。如果身份验证成功，Lsass将生成用户的访问令牌，用于启动初始外壳程序。该用户启动的其他进程将继承这一令牌。
NTLM
微软采用 Kerberos 作为 Windows 2000及之后的活动目录域的默认认证协议。当某个服务器隶属于一个Windows 服务器域或者通过某种方式（如Linux到Windows AD的认证）与Windows 服务器域建立了信任关系的时候，通常采用Kerberos作为认证协议。但是无论你是否拥有活动目录域，NTLM都可以被采用。
ntlm 是用于 Windows NT 和 Windows 2000 Server 工作组环境的身份验证协议。它还用在必须对 Windows NT 系统进行身份验证的混合 Windows 2000 Active Directory 域环境中。当 Windows 2000 Server 转换为不存在下层 Windows NT 域控制器的本机模式时，禁用 NTLM.然后 Kerberos v5 变成企业级的默认身份验证协议。
psexec
psExec是微软pstools工具包中最常用的一个工具，也是在内网渗透中的免杀渗透利器。
psExec能够在命令行下在对方没有开启telnet服务的时候返回一个半交互的命令行，像telnet客户端一样。非常方便我们的工作，之所以叫半交互是因为这个命令行不能够执行一条命令中有交互的回显。
Skeleton Key
Skeleton Key被安装在64位的域控服务器上
支持Windows Server2003—Windows Server2012 R2
能够让所有域用户使用同一个万能密码进行登录
现有的所有域用户使用原密码仍能继续登录
重启后失效
Mimikatz(Version 2.0 alpha,20150107)支持 Skeleton Key
SSP
SSP(Security Support Provider)安全支持提供者。它可简单理解为一个DLL，用来实现身份认证。
例如：
NTLM
Kerberos
Negotiate
Secure Channel (Schannel)
Digest
Credential (CredSSP)
SSPI
SSPI(Security Support Provider Interface)即安全支持程序接口，是Windows系统在执行认证操作所使用的API。简单的理解就是SSPI就是SSP的API接口。
LSA
LSA(Local Security Authority)，用于身份认证，常见进程为lsass.exe
LSA是可扩展的，在系统启动的时候SSP会被加载到进程lsass.exe中
LAPS
LAPS（Local Administrator Password Solution）为了解决确保每台域内主机有不同的密码，并且定期更换问题的协议。
|