重設密碼

說明

來源安全主體可重設目標的密碼,進而使用新的密碼屬性以目標的身分進行驗證,並取得目標的權限。

重設密碼與變更密碼不同,知道目前密碼的任何人皆可變更密碼。當密碼到期時,通常會發生密碼變更。

利用

入侵來源安全主體的攻擊者可使用本機 Windows 命令 (如「net user /domain」)、PowerShell (如「Set-ADAccountPassword -Reset」)、管理工具 (如「Active Directory 使用者和電腦」) 或專用的駭客工具 (如 PowerSploit) 重設目標的密碼。

然後,攻擊者只需要使用合法的驗證方法 (加上其新選擇的密碼) 通過 Active Directory 或目標資源的驗證,即可完全模擬目標。

但是,攻擊者通常不知道先前的密碼,無法在攻擊之後還原。因此,目標背後的合法人員常常可以看到攻擊,而此攻擊甚至可造成拒絕服務,特別是對於服務帳戶而言。

修復

IT 管理員和服務台工作人員可以合法重設密碼。但是,您必須建立適當的委派,讓他們只在允許的範圍內執行此動作。

此外,根據階層處理模型,您必須確保較低層級的員工 (例如普通使用者的服務人員) 不能重設較高層級帳戶 (例如網域管理員) 的密碼,因為這是權限提升的機會。

如要修改目標的安全性描述元並移除非法權限:

  1. 在「Active Directory 使用者和電腦」中,右鍵按一下「屬性」>「安全性」。

  2. 移除授予來源安全主體的「重設密碼」權限。

注意:請勿將此權限與「變更密碼」權限混淆。

另請參閱