GPP漏洞

前言

GPP(Group Policy Preferences)
组策略首选项是一组组策略客户端的扩展，可向运行Microsoft Windows桌面和服务器操作系统的加入域的计算机提供首选项设置
首选项设置是到桌面和服务器的管理配置选项
首选项设置与策略设置不同，因为用户可以选择更改管理配置

密码问题

每一台windows主机都有一个内置的Administrator账户以及相关联的密码
大多数组织机构为了安全，可能都会要求更改一些密码
标准做法就是利用组策略去批量设置工作站的本地Administrator密码

问题:那就是所有的电脑都会有相同的本地Administrator的密码,如果攻击者拿到票据危害极大

GPP漏洞

在域环境中管理大量计算机时候,对计算机资源的访问通常使用组策略下发
常规做法是将Administrator的密码保存在SYSVOL中的XML文件中
而且只要是在域中已经注册的帐号,乃至普通域权限的帐号也可以自由读取SYSVOL目录的权限数据
dir /s /a \\域控制器IP\SYSVOL\*.xml

产生原因

1. SYSVOL

   SYSVOL是AD中域范围共享,所有经过身份验证的用户都具有读取权限 SYSVOL包含了登录脚本，组策略数据和其他需要在有域控制器的任何地方可用的域范围数据

因为SYSVOL在所有域控制器之间自动同步和共享
所有的域组策略都存储于
\\<DOMAIN>\SYSVOL<DOMAIN>\Policies\

创建一个新的GPP时候,会在SYSVOL中创建一个关联的XML文件,其中包含相关的配置信息数据
Microsoft在MSDN上发布了AES加密密钥(共享机密),可用于解密密码

工具

自动化获取GPP文件的脚本
解码脚本