当前位置：首页 > news >正文

Exchange-AD-Privesc修复脚本详解：如何快速检测和修复Exchange部署中的Active Directory安全漏洞

news 2026/6/18 17:29:05

Exchange-AD-Privesc修复脚本详解：如何快速检测和修复Exchange部署中的Active Directory安全漏洞

【免费下载链接】Exchange-AD-PrivescExchange privilege escalations to Active Directory项目地址: https://gitcode.com/gh_mirrors/ex/Exchange-AD-Privesc

在Microsoft Exchange部署过程中，Active Directory安全配置往往容易被忽视，导致严重的权限提升漏洞。Exchange-AD-Privesc项目专门针对这些Exchange部署中的Active Directory安全漏洞提供了专业的检测和修复解决方案。本文将详细介绍这些关键漏洞的原理、风险以及如何使用项目提供的修复脚本快速保护您的AD环境。

🔍 Exchange部署中的AD安全风险

Exchange服务器在企业环境中通常是高价值目标，相比域控制器，它们往往安全配置较弱。Exchange部署会向Active Directory添加大量属性和类，创建安全组并修改关键AD对象的DACL（自主访问控制列表）。这些修改可能带来严重的安全隐患。

主要漏洞类型

Exchange-AD-Privesc项目主要关注三类关键漏洞：

Domain Object DACL权限提升漏洞
DNSAdmins组DACL权限提升漏洞
Public-Information属性集包含SPN问题

这些漏洞允许攻击者从Exchange权限组提升到域管理员权限，完全控制整个Active Directory域。

📊 漏洞影响分析

Domain Object漏洞详解

这是最危险的漏洞之一！当Exchange 2010/2013/2016在共享权限或RBAC拆分权限模式下部署时，Exchange Windows Permissions安全组会在域对象上获得两个缺少INHERIT_ONLY标志的ACE。

从图中可以看到，Exchange Windows Permissions组在域对象上拥有WriteDACL权限，这个权限本应只应用于子对象，但由于缺少INHERIT_ONLY标志，实际上应用到了域对象本身。

安全后果：任何拥有Exchange Windows Permissions SID的账户都可以修改域对象的DACL，为自己添加DCSync权限，从而获取域内所有账户的Kerberos密钥和哈希值。

DNSAdmins组漏洞

在Exchange 2016的最新部署中，Exchange Windows Permissions和Exchange Trusted Subsystem安全组在DNSAdmins组上获得了三个控制ACE。

安全后果：任何Organization Management组成员都可以通过Exchange Windows Permissions间接控制DNSAdmins组，进而通过DNS服务加载恶意DLL，在域控制器上执行SYSTEM权限代码。

🛠️ 快速检测和修复指南

检测环境是否受影响

Exchange-AD-Privesc项目提供了两个核心修复脚本：

DomainObject修复脚本：Fix-DomainObjectDACL.ps1
DNSAdmins修复脚本：Fix-DNSAdmins-DACL.ps1

检测Domain Object漏洞

运行以下命令检测环境是否存在Domain Object漏洞：

.\Fix-DomainObjectDACL.ps1 -Check

脚本会自动检查域对象DACL中是否存在两个有问题的ACE。如果发现漏洞，会显示："The two faulty ACEs were found. Exchange Windows Permissions can control the domain object."

检测DNSAdmins漏洞

运行以下命令检测DNSAdmins组漏洞：

.\Fix-DNSAdmins-DACL.ps1 -Check

脚本会检查DNSAdmins组DACL中是否存在三个有问题的ACE。

一键修复漏洞

修复Domain Object漏洞

使用Domain Admins权限运行修复命令：

.\Fix-DomainObjectDACL.ps1 -Fix

脚本会自动：

备份当前域对象DACL到文件
为两个有问题的ACE设置InheritOnly标志
验证修复结果

修复DNSAdmins漏洞

使用Domain Admins权限运行修复命令：

.\Fix-DNSAdmins-DACL.ps1 -Fix

脚本会：

备份DNSAdmins组DACL
禁用DACL继承并删除三个有问题的ACE
确保DNSAdmins组安全

📋 修复脚本工作原理

DomainObject修复脚本详解

脚本的核心逻辑是通过PowerShell的Active Directory模块操作DACL：

检测阶段：查找特定ACE

$faultyACE = $domainObjectAcl.Access | Where-Object { $_.IdentityReference -match '\\Exchange Windows Permissions' ` -and $_.ActiveDirectoryRights -match 'WriteDacl' ` -and $_.PropagationFlags -match 'None' }

修复阶段：修改ACE标志

$inheritanceType = [System.DirectoryServices.ActiveDirectorySecurityInheritance]"Descendents" $ace0 = new-object System.DirectoryServices.ActiveDirectoryAccessRule ...