Ich versuche immer noch, den Umgang mit Windows-Konten unter einer DOMAIN zu verstehen, habe aber einige Sicherheitsfragen.
Meiner Erfahrung nach scheinen auf einer Maschine lokale Benutzer und Domänenbenutzer vollständig getrennt zu sein.
Beispielsweise kann ein lokaler Administrator keine Kontoänderungen an einem Domänenbenutzer vornehmen; dazu benötigen Sie Domänenadministratorrechte.
Wenn man bedenkt, dass alles als Daten lokal auf dem Computer gespeichert ist, scheint dies eine Art Windows-Einschränkung zu sein.
Gibt es eine Möglichkeit, dies zu umgehen? Da sowohl Hardware- als auch lokaler Administratorzugriff auf die Maschine besteht, wie kann jemand das Domänenadministratorkennwort wiederherstellen oder einem lokalen Administrator erlauben, Änderungen an einem Domänenbenutzer vorzunehmen?
Mit freundlichen Grüße
Bearbeiten: Das Ausführen dieses Befehls scheint zu funktionieren, aber warum?
net localgroup Administratoren /add DOMAIN\USER
Antwort1
Wenn man bedenkt, dass alles als Daten lokal auf dem Computer gespeichert ist, scheint dies eine Art Windows-Einschränkung zu sein.
Nein, die Domänenkontoinformationen sind lediglichzwischengespeichertauf der Maschine. Selbst wenn Sie einen Weg finden, Änderungen am Cache vorzunehmen, werden diese nicht von Ihrer Maschine auf den Rest der Domäne übertragen – und schon gar nicht auf die Domänencontroller selbst. Sie erhalten also nurlokalAdministratorzugriff, mehr nicht.
Beachten Sie, dass die bloße Anmeldung bei einem lokalen Benutzerkontonicht genugum von anderen Domänenservern/-maschinen als dieser Benutzer erkannt zu werden. Das KontoReferenzen(Passwort) müssen ebenfalls mit den dem Domänencontroller bekannten Werten übereinstimmen.
Gibt es eine Möglichkeit, dies zu umgehen? Da sowohl Hardware- als auch lokaler Administratorzugriff auf den Computer besteht, wie kann jemand das Domänenadministratorkennwort wiederherstellen?
Es ist möglich, die Funktion „Offline-Anmeldung“ (zwischengespeicherte Domänenanmeldeinformationen) zu missbrauchen. Wenn sich Domänenbenutzer anmelden,Passwort-Hashwird zusammen mit den üblichen Informationen zwischengespeichert, sodass sich derselbe Benutzer auch dann anmelden kann, wenn kein Netzwerkzugriff besteht. Soweit ich mich erinnere, werden die Offline-Hashes zwei Wochen lang gespeichert und können extrahiert und geknackt werden.
Wenn Sie sich wirklich anmelden müssenörtlichzu einem Domänenkonto, können die Hashes vorübergehend durch etwas Bekanntes ersetzt werden. Siehe diesen Thread:https://security.stackexchange.com/questions/182986/replacing-cached-domain-credentials-in-security-hive. Wie bereits erwähnt, werden Sie danach jedochTrotzdemauf den Zugriff auf den lokalen Computer beschränkt sein.
Antwort2
kann jemand das Domänenadministratorkennwort wiederherstellen?
Antwort: Nein, es sei denn, Sie verwenden illegale Hackingmethoden.
Das Passwort wird auf dem lokalen Computer nicht als Klartext, sondern als Hash gespeichert. Sie müssen also eine Zeichenfolge eingeben, die genau denselben Hashwert hat. Die verwendete Hash-Funktion zielt darauf ab, solche möglichen Kollisionen zu minimieren. Versuchen Sie es also erst gar nicht.
Das Kennwort wird auf dem Server und nicht lokal getestet. Sie können daher nicht lokal ein Produkt ausführen, um das Kennwort mit Brute-Force-Methoden zu erraten, es sei denn, Sie gehen über den Domänenserver.
Erlauben Sie einem lokalen Administrator, Änderungen an einem DOMAIN-Benutzer vorzunehmen
Wenn Sie das Domänenbenutzerkennwort kennen, können Sie das Runas-Befehl zum Ausführen eines Programms unter den Anmeldeinformationen des Domänenbenutzers. Sie können dann die folgende Syntax verwenden:
runas /netonly /user:domain\username command
Mit diesem net localgroup administratorsBefehl können Sie den Domänenbenutzer zur lokalen Administratorgruppe hinzufügen. Sie benötigen zum Anmelden jedoch weiterhin das Kennwort. Dieser Befehl sollte nur ausgeführt werden, wenn der Computer mit dem Netzwerk verbunden ist.
Beachten Sie, dass Sie dasselbe mit der Computerverwaltung tun können: Klicken Sie auf Gruppen, klicken Sie mit der rechten Maustaste auf Administratoren, klicken Sie auf Add to Group, klicken Sie auf Addund geben Sie im Dialogfeld Benutzer auswählen einDomäne\Benutzer.