首页/资讯中心/详情

Exchange-AD-Privesc修复脚本详解：如何快速检测和修复Exchange部署中的Active Directory安全漏洞

Exchange-AD-Privesc修复脚本详解：如何快速检测和修复Exchange部署中的Active Directory安全漏洞
📅 发布时间：2026/6/18 17:29:05

Exchange-AD-Privesc修复脚本详解：如何快速检测和修复Exchange部署中的Active Directory安全漏洞

【免费下载链接】Exchange-AD-PrivescExchange privilege escalations to Active Directory项目地址: https://gitcode.com/gh_mirrors/ex/Exchange-AD-Privesc

在Microsoft Exchange部署过程中，Active Directory安全配置往往容易被忽视，导致严重的权限提升漏洞。Exchange-AD-Privesc项目专门针对这些Exchange部署中的Active Directory安全漏洞提供了专业的检测和修复解决方案。本文将详细介绍这些关键漏洞的原理、风险以及如何使用项目提供的修复脚本快速保护您的AD环境。

🔍 Exchange部署中的AD安全风险

Exchange服务器在企业环境中通常是高价值目标，相比域控制器，它们往往安全配置较弱。Exchange部署会向Active Directory添加大量属性和类，创建安全组并修改关键AD对象的DACL（自主访问控制列表）。这些修改可能带来严重的安全隐患。

主要漏洞类型

Exchange-AD-Privesc项目主要关注三类关键漏洞：

  1. Domain Object DACL权限提升漏洞
  2. DNSAdmins组DACL权限提升漏洞
  3. Public-Information属性集包含SPN问题

这些漏洞允许攻击者从Exchange权限组提升到域管理员权限，完全控制整个Active Directory域。

📊 漏洞影响分析

Domain Object漏洞详解

这是最危险的漏洞之一！当Exchange 2010/2013/2016在共享权限或RBAC拆分权限模式下部署时，Exchange Windows Permissions安全组会在域对象上获得两个缺少INHERIT_ONLY标志的ACE。

从图中可以看到，Exchange Windows Permissions组在域对象上拥有WriteDACL权限，这个权限本应只应用于子对象，但由于缺少INHERIT_ONLY标志，实际上应用到了域对象本身。

安全后果：任何拥有Exchange Windows Permissions SID的账户都可以修改域对象的DACL，为自己添加DCSync权限，从而获取域内所有账户的Kerberos密钥和哈希值。

DNSAdmins组漏洞

在Exchange 2016的最新部署中，Exchange Windows Permissions和Exchange Trusted Subsystem安全组在DNSAdmins组上获得了三个控制ACE。

安全后果：任何Organization Management组成员都可以通过Exchange Windows Permissions间接控制DNSAdmins组，进而通过DNS服务加载恶意DLL，在域控制器上执行SYSTEM权限代码。

🛠️ 快速检测和修复指南

检测环境是否受影响

Exchange-AD-Privesc项目提供了两个核心修复脚本：

  • DomainObject修复脚本：Fix-DomainObjectDACL.ps1
  • DNSAdmins修复脚本：Fix-DNSAdmins-DACL.ps1
检测Domain Object漏洞

运行以下命令检测环境是否存在Domain Object漏洞：

.\Fix-DomainObjectDACL.ps1 -Check

脚本会自动检查域对象DACL中是否存在两个有问题的ACE。如果发现漏洞，会显示："The two faulty ACEs were found. Exchange Windows Permissions can control the domain object."

检测DNSAdmins漏洞

运行以下命令检测DNSAdmins组漏洞：

.\Fix-DNSAdmins-DACL.ps1 -Check

脚本会检查DNSAdmins组DACL中是否存在三个有问题的ACE。

一键修复漏洞

修复Domain Object漏洞

使用Domain Admins权限运行修复命令：

.\Fix-DomainObjectDACL.ps1 -Fix

脚本会自动：

  1. 备份当前域对象DACL到文件
  2. 为两个有问题的ACE设置InheritOnly标志
  3. 验证修复结果
修复DNSAdmins漏洞

使用Domain Admins权限运行修复命令：

.\Fix-DNSAdmins-DACL.ps1 -Fix

脚本会：

  1. 备份DNSAdmins组DACL
  2. 禁用DACL继承并删除三个有问题的ACE
  3. 确保DNSAdmins组安全

📋 修复脚本工作原理

DomainObject修复脚本详解

脚本的核心逻辑是通过PowerShell的Active Directory模块操作DACL：

  1. 检测阶段：查找特定ACE

    $faultyACE = $domainObjectAcl.Access | Where-Object { $_.IdentityReference -match '\\Exchange Windows Permissions' ` -and $_.ActiveDirectoryRights -match 'WriteDacl' ` -and $_.PropagationFlags -match 'None' }

  2. 修复阶段：修改ACE标志

    $inheritanceType = [System.DirectoryServices.ActiveDirectorySecurityInheritance]"Descendents" $ace0 = new-object System.DirectoryServices.ActiveDirectoryAccessRule ...

  3. 备份机制：每次修复前自动备份DACL到文件，格式为domainObjectDACL_YYYYMMDDThhmmssZ_Fix.txt

DNSAdmins修复脚本特点

DNSAdmins修复脚本采用不同的策略：

  • 直接断开DACL继承
  • 删除有问题的ACE
  • 保持其他必要权限不变

🔧 手动修复方法（备用方案）

如果无法使用脚本，可以通过以下方式手动修复：

使用LDP工具修复Domain Object漏洞

  1. 以域管理员身份运行LDP.exe
  2. 连接到域控制器
  3. 导航到域对象（如DC=example,DC=com）
  4. 查看安全描述符
  5. 找到Exchange Windows Permissions的两个ACE
  6. 勾选"Inherit only"复选框
  7. 应用修改

使用Active Directory用户和计算机

  1. 打开"Active Directory用户和计算机"
  2. 启用"高级功能"视图
  3. 右键点击域名，选择"属性"
  4. 进入"安全"选项卡，点击"高级"
  5. 找到Exchange Windows Permissions条目
  6. 编辑权限，确保"仅将这些权限应用到此容器中的对象和/或容器"被选中

⚠️ 重要注意事项

权限要求

  • 检测操作：普通用户权限即可
  • 修复操作：需要Domain Admins权限
  • 还原操作：需要Domain Admins权限，谨慎使用！

备份和恢复

两个脚本都提供完整的备份机制：

  • 修复前自动备份当前DACL
  • 提供-Restore参数恢复原始状态
  • 备份文件包含时间戳，便于审计

兼容性考虑

  • 脚本适用于Exchange 2010/2013/2016
  • 需要PowerShell Active Directory模块
  • 建议在测试环境验证后再在生产环境使用

🚀 最佳实践建议

1. 定期安全审计

建议每季度运行一次检测脚本，确保环境安全状态。

2. Exchange更新后验证

每次Exchange累积更新后，重新运行检测脚本确认安全配置。

3. 权限最小化原则

遵循最小权限原则，定期审查Exchange相关安全组的成员资格。

4. 监控异常活动

监控对域对象和DNSAdmins组的DACL修改活动。

5. 文档化修复过程

记录每次修复的时间、操作人员和备份文件位置。

📚 相关技术文档

项目提供了详细的技术文档：

  • Domain Object漏洞详解
  • DNSAdmins漏洞分析
  • Public-Information属性集问题
  • Alt-Security-Identities问题

🎯 总结

Exchange-AD-Privesc项目为企业安全团队提供了强大的工具来检测和修复Exchange部署中的Active Directory安全漏洞。通过使用这些修复脚本，您可以：

✅快速识别Exchange部署引入的AD安全风险
✅一键修复关键权限提升漏洞
✅保持合规满足安全审计要求
✅预防攻击阻止域管理员权限被窃取

记住，安全是一个持续的过程。定期使用这些工具进行检测，及时应用安全更新，并遵循最小权限原则，才能确保您的Exchange和Active Directory环境安全可靠。

立即行动：下载Exchange-AD-Privesc脚本，开始保护您的Active Directory环境吧！🔒

【免费下载链接】Exchange-AD-PrivescExchange privilege escalations to Active Directory项目地址: https://gitcode.com/gh_mirrors/ex/Exchange-AD-Privesc

创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考