### 域深-1 DCSync #### 1. 链路定位 - MITRE ATT&CK 战术阶段：TA0006 凭据访问 + TA0008 横向移动。 - 对应技术族：T1003.006 DCSync（目录复制）、T1555 凭据转储。 - 定位：借目录复制协议模拟域控拉取全域哈希（含 krbtgt），域控接管，严重。 #### 2. 前置条件 - 一个持有目录复制权限的账号：`DS-Replication-Get-Changes`、`DS-Replication-Get-Changes-All`（域管/管理员组或被显式授予者）。 - 能与域控的 DRSUAPI 端点通信（RPC）。 - 理解这是权限滥用，不是协议漏洞。 #### 3. 技术原理 - 域控之间经 DRSUAPI（Directory Replication Service API，RPC 封装）同步 NTDS.dit 目录数据。DCSync 即以具备复制权限的身份发起"我是另一台域控、请把变更同步给我"的复制请求，域控按正常复制返回目标对象的凭据哈希。 - 底层：RPC 建连（`socket()`/`conn