T1552.006: 组策略首选项

摘要

攻击者可能尝试在组策略首选项（GPP）中查找不安全的凭据。GPP 是允许管理员创建带有嵌入凭据的域策略的工具。这些策略允许管理员设置本地账户。(Citation: Microsoft GPP 2016) 这些组策略存储在域控制器上的 SYSVOL 中。这意味着任何域用户都可以查看 SYSVOL 共享并解密密码（使用已公开的 AES 密钥）。(Citation: Microsoft GPP Key) 以下工具和脚本可用于从组策略首选项 XML 文件中收集和解密密码文件： * Metasploit 的后渗透模块：<code>post/windows/gather/credentials/gpp</code> * Get-GPPPassword(Citation: Obscuresecurity Get-GPPPassword) * gpprefdecrypt.py 在 SYSVOL 共享上，攻击者可以使用以下命令枚举潜在的 GPP XML 文件：<code>dir /s * .xml</code>