sysvol 域渗透：不是域渗你想的那样

很多人一听到sysvol，第一反应是域渗“域控上的共享文件夹，存组策略的域渗”。对，域渗但错。域渗sysvol是域渗域渗透里最容易被低估的宝藏，它不像ntds.dit那样需要提权才能拿，域渗也不像Kerberos票据那样需要复杂攻击链。域渗它就躺在那，域渗共享给所有域用户读，域渗甚至匿名用户在某些配置下都能碰。域渗我见过太多红队新手盯着Mimikatz和BloodHound，域渗却忽略了sysvol里那些直接能让你横向移动的域渗“垃圾”。

先说最直接的域渗攻击面：组策略首选项（GPP）密码。2014年微软发了MS14-025补丁，域渗但现实中仍有大量域环境没打全。攻击者只要翻开sysvol里的`SYSVOL\domain\Policies\{ GUID}\Machine\Preferences\Groups\Groups.xml`，找到那个`cpassword`字段，用AES-256密钥（微软公开的）一解，明文密码就出来了。这活儿我实操过不止一次，有些企业甚至把本地管理员密码写进GPP，域用户都能读。你不需要任何漏洞，只需要一个普通域账号，甚至guest账号在某些情况下都能读sysvol。

但sysvol渗透远不止GPP。另一个被忽视的点是脚本文件。域管理员常把登录脚本、启动脚本扔在sysvol里，比如`logon.vbs`或`startup.bat`。这些脚本里可能硬编码了服务账号密码，或者调用其他网络资源时带上凭据。我遇到过一家制造业客户，他们的域控上有个`maint.bat`，里面写着`net use Z: \\file-server\share /user:svc_backup Backup@2023`——这密码直接能登到文件服务器，还能读备份共享。更妙的是，这些脚本的修改权限往往没锁紧，如果普通用户能写sysvol里的文件（配置错误时会发生），直接改脚本植入木马，等域管下次登录执行，你就拿到SYSTEM了。

还有个冷门但致命的角度：sysvol的NTFS权限配置。默认情况下，域用户对sysvol只有读取权限，但有些管理员为了省事，给Authenticated Users加了“修改”权限。这不是危言耸听，我在一次授权测试中碰到过，某个子域的所有者为了推送软件，把整个sysvol目录的写权限放开了。结果呢？我用普通域账号直接替换了默认域策略里的`Scripts\startup.vbs`，等下一台新机器加域时，脚本以SYSTEM权限运行，直接反弹shell。整个过程不到十分钟，域管根本没察觉。

别急着把sysvol当成“过时技术”。现代攻击者依然在用它，只是换了个玩法。比如利用GPO的SYSVOL复制延迟——域控之间同步sysvol不是实时的，如果你能在一台域控上临时获得写权限，植入恶意GPO，然后在另一台域控同步前触发某些操作，就能造成时间差攻击。这招在大型多域环境里特别有效，因为管理员往往不会实时监控GPO变更。

最后说点防御端的个人看法。很多防护软件盯着进程行为、网络流量，但sysvol的异常访问往往被忽略。你该监控的是：谁在非工作时间读取了`Groups.xml`？谁对sysvol做了写操作？这些日志在域控的安全事件里都有，但默认不开启详细审计。我建议至少开启对sysvol目录的`4670`（权限变更）和`4663`（对象访问）审计，并设置基线——正常域环境里，除了组策略管理工具，不会有进程频繁读写sysvol。

sysvol不是银弹，但它像一扇没关紧的后门，等着那些愿意弯腰捡钥匙的人。下次评估域环境时，别只盯着高难度攻击，先翻翻sysvol里的每个XML和BAT——说不定你想要的密码，就明晃晃地躺在那里。