‍

在Active Directory（AD）多林环境的实战对抗中，跨林信任是企业构建业务协作的常见架构，但也为攻击者提供了从"受信任林"横向渗透进入"信任林"的天然通道。当一个域用户被授予访问外部林资源的权限时，其SID会被以特殊对象的形式登记在目标域的 `ForeignSecurityPrincipals` 容器中——这个鲜为人知的容器，恰恰是跨林权限提升的关键突破口。

许多防御方在部署双林、多林信任时，往往只关注了信任方向、SID Filtering、Selective Authentication等宏观策略，却忽视了对 `ForeignSecurityPrincipals` 容器中"外来SID"的持续审计，导致攻击者一旦在受信任林中获得任意用户权限，就有可能通过一次简单的组成员身份检索 + Pass-The-Hash，直接拿下目标林的域控。如何发现这些"藏在外部主体容器中的定时炸弹"，并将其转化为对目标林域控的完整控制，是本篇要重点解决的问题。

本篇文章将围绕 `ForeignSecurityPrincipals`​ 容器展开，先介绍其在跨林信任中的作用与工作机制，然后以 `htf.org`​ 和 `dm.org` 双林环境为例，演示从枚举外部组成员、解析SID所属账户、到利用Pass-The-Hash获取目标林域控权限的完整攻击链，最后给出对应的检测与加固思路，帮助读者从攻防两个视角深入理解跨林权限的滥用与防护。

# 1 ForeignSecurityPrincipals 与跨林信任原理

当我们跨域林请求资源时，如果两个域林之间存在信任关系，就可以在两个域中寻找同时存在（或被明确授权）的高权限域用户。信任域的域控制器在收到跨林身份认证请求时，会检查发起请求的用户SID，判断该SID是否被登记在信任域的 `ForeignSecurityPrincipals` 容器中——只有登记在该容器并被授予相应组权限的外部SID，才能在本域中获得对应的访问权限。

`ForeignSecurityPrincipals`​（简称 FSP）是每个AD域中默认存在的一个系统容器，专门用于存放来自外部受信任域/林的安全主体（用户、组）的SID对象。当外部林中的某个用户被添加到本域的某个组（例如 `Administrators`​）中时，AD并不会存储该外部用户的完整对象，而是会在 FSP 容器中为其SID创建一个 `foreignSecurityPrincipal` 对象，随后再将该对象加入到相应的组里。

这意味着：**只要在本域的高权限组（例如** **​`Administrators`​**​ **、**​**​`Domain Admins`​**​ **）中出现了指向外部林用户的 FSP 对象，攻击者就可以从外部林方向对该目标域发起横向渗透**。这也是本篇利用手法的核心逻辑。

# 2 实验环境说明

本次实验涉及两个存在双向林信任关系的AD林，具体信息如表1-1所示。

:::center  
表1-1 实验环境信息  
:::

|角色|域名|域控主机名|关键账户|
| --------------------------| ------------| -------------| --------------------------|
|受信任林（攻击者已控制）|htf.org|dc1.htf.org|user2（普通域用户）|
|目标林（待渗透）|dm.org|dc01.dm.org|administrators（内建组）|
|信任关系|双向林信任|—|—|

攻击目标：借助 `htf.org`​ 中的普通用户 `user2`​，通过 FSP 机制获取对 `dm.org` 域控的完整访问权限。

# 3 攻击链实战演示

## 3.1 将外部林用户加入目标域高权限组

首先在 `dm.org`​ 域中，将 `htf.org`​ 域的 `user2`​ 用户加入 `dc01.dm.org`​ 域的通用组 `administrators`，用以模拟"运维配置错误"或"跨林权限授予"场景。执行如下 PowerShell 命令：

```powershell
$user = Get-ADUser -Identity "user2" -server htf.org
$group = Get-ADGroup -Identity "administrators" -server dc01.dm.org
Add-ADGroupMember -Identity $group -Members $user -confirm:$false
```

命令执行成功后，`dm.org`​ 域的 `ForeignSecurityPrincipals`​ 容器中就会生成一条对应 `user2`​ SID的外部主体记录，并被绑定到 `administrators` 组中。

## 3.2 查询信任域的外部组信息

使用 AdFind 工具直接枚举目标域 `dm.org`​ 的 `ForeignSecurityPrincipals` 容器，即可看到所有被登记的外部SID，命令如下，执行结果如图1-1所示。

```powershell
adfind.exe -b cn=ForeignSecurityPrincipals,dc=dm,dc=org
```

:::center  
​![查询信任域的外部组信息](https://developer.qcloudimg.com/http-save/yehe-1277458/7284d0eb3ee6bba65286f7552200be3e.jpg)

图1-1 查询信任域的外部组信息  
:::

从输出中可以清晰看到多条 `foreignSecurityPrincipal` 对象，每个对象以SID命名，代表一个来自外部林的安全主体。

## 3.3 使用 PowerView 定位含外部成员的组

单纯枚举 FSP 容器只能看到"外部SID列表"，还需要进一步确认这些外部SID被加入到了哪些组中。使用 PowerView 的 `Get-DomainForeignGroupMember` 函数可以快速定位包含外部域成员的组，命令如下，执行结果如图1-2所示。

```powershell
Get-DomainForeignGroupMember -domain dm.org
```

:::center  
​![使用PowerView查看dm.org域是否包含其他外部域成员的组](https://developer.qcloudimg.com/http-save/yehe-1277458/1e99835f471fd3611c3480b694bec7a7.jpg)

图1-2 使用 PowerView 查看 dm.org 域是否包含其他外部域成员的组  
:::

从结果中可以看到，`dm.org`​ 的 `Administrators`​ 组中确实包含一个外部SID成员，这正是我们在 3.1 节中加入的 `user2`。

## 3.4 反向解析 SID 获取对应用户账户

拿到外部SID后，还需要反向确认该SID对应的具体账户是哪一个。可以借助 `sid2user.exe`​ 工具，通过外部林域控 `dc1.htf.org` 进行SID解析，命令如下，执行结果如图1-3所示。

```powershell
sid2user.exe \\dc1.htf.org 5 21 1847810731 2295479577 3182564570 1109
```

:::center  
​![查询外部组中SID对应的用户账户](https://developer.qcloudimg.com/http-save/yehe-1277458/1d70cbe66bc4917bce86a7b30fe65c9a.jpg)

图1-3 查询外部组中 SID 对应的用户账户  
:::

解析结果显示，该SID对应的正是 `htf.org`​ 域中的 `user2`​ 用户。至此，攻击者已经确认：只要拿到 `htf.org\user2`​ 的凭据或哈希，就能以 `dm.org\Administrators`​ 的身份访问 `dm.org` 林中的资源。

## 3.5 使用 Mimikatz 进行 Pass-The-Hash

假设攻击者已通过其他手段（如 DCSync、LSASS 转储等）获取到 `htf.org\user2`​ 的 NTLM 哈希，即可使用 Mimikatz 的 `sekurlsa::pth` 模块进行 Pass-The-Hash 攻击，注入身份到当前会话，命令如下，执行结果如图1-4所示。

```powershell
sekurlsa::pth /user:user2 /domain:htf.org /ntlm:8bf3ca3921607e34cb1f9fc75554df1a
```

:::center  
​![使用Mimikatz进行pth](https://developer.qcloudimg.com/http-save/yehe-1277458/3f2b652ff38e2dcb36e135d3d21527d9.jpg)

图1-4 使用 Mimikatz 进行 Pass-The-Hash  
:::

命令执行成功后，Mimikatz 会以 `htf.org\user2`​ 的身份弹出一个新的 `cmd` 窗口，该窗口的网络认证将自动使用注入的 NTLM 哈希进行 Kerberos/NTLM 认证。

## 3.6 验证跨林域控访问权限

在 PTH 注入后弹出的 `cmd`​ 窗口中，直接访问 `dm.org`​ 域控的默认管理共享 `C$`，用以验证是否成功获得跨林高权限，命令如下，执行结果如图1-5所示。

```powershell
dir \\dc01.dm.org\c$
```

:::center  
​![cmd验证权限](https://developer.qcloudimg.com/http-save/yehe-1277458/35e136b71ff05707ed1a249705af9c08.jpg)

图1-5 在 cmd 中验证跨林域控访问权限  
:::

从结果可以看到，`dm.org`​ 域控 `C$`​ 共享的完整目录列表被成功返回，说明当前会话已经以 `dm.org\Administrators` 的身份访问了目标林域控——整条从"受信任林普通用户"到"目标林域控管理员"的跨林攻击链彻底打通。

# 4 攻击链原理剖析

整条攻击链的底层逻辑可以概括为以下四步：

1. **配置错误埋雷**：目标林管理员为了实现跨林协作，将外部林用户直接加入本域高权限组，AD在 `ForeignSecurityPrincipals` 容器中生成对应外部SID对象。
2. **外部主体枚举**：攻击者利用 `adfind`、PowerView 等工具，通过 LDAP 查询目标域的 FSP 容器和组成员关系，快速定位"含外部SID的高权限组"。
3. **SID 反向定位**：借助 `sid2user.exe`​ 或 `Get-ADUser -LDAPFilter "(objectSid=…)"` 等方式，将外部SID解析为具体的外部林账户名。
4. **凭据横向复用**：攻击者只需在受信任林中拿到该账户的 NTLM 哈希或明文口令，即可通过 Pass-The-Hash / Pass-The-Ticket 等方式，以外部林身份直接访问目标林资源，包括域控。

其中最容易被忽视的一点是：**跨林信任本身并没有出错，出错的是"权限授予边界"** 。SID Filtering 只能过滤"伪造SID"，无法过滤"合法但过高权限的外部SID"，因此一旦权限配置失当，防御体系几乎不会产生任何"信任层面"的告警。

# 5 检测与防御建议

## 5.1 定期审计 ForeignSecurityPrincipals 容器

作为最直接的防御手段，管理员应定期枚举每个域的 FSP 容器，核对其中的外部SID是否仍具备业务必要性，可使用以下命令进行快速盘点：

```powershell
adfind.exe -b cn=ForeignSecurityPrincipals,dc=dm,dc=org -f "(objectClass=foreignSecurityPrincipal)" objectSid
```

或使用 PowerView 一次性列出所有含外部成员的组：

```powershell
Get-DomainForeignGroupMember -domain dm.org
Get-DomainForeignUser -domain dm.org
```

对每一条外部SID都要能回答三个问题：**是谁？为什么需要？归属哪个业务？**  无法回答的一律清理。

## 5.2 最小权限原则与专用账户

严禁将外部林用户直接加入本域的 `Administrators`​、`Domain Admins`​、`Enterprise Admins` 等高权限组。若确有跨林协作需求，应遵循以下原则：

- 为跨林场景创建**专用的、权限最小化的**外部访问账户；
- 使用**资源专用组**（Resource Group）承载外部主体，并仅授予所需资源的最小 ACL；
- 结合 **Selective Authentication**，明确指定外部账户可访问的服务和主机，而非放任其继承整个域的信任范围。

## 5.3 启用 SID Filtering 与信任审计日志

- 对非必要的双向信任，考虑降级为单向信任或启用 SID Filtering（`Quarantine` 属性），阻断非本林SID的越权传递。
- 在域控上开启 **Directory Service Changes（4662）**  和 **组成员变更（4728/4732/4756）**  审计，重点监控 `ForeignSecurityPrincipals` 容器下对象的创建、删除以及高权限组的成员变更。
- 对 Pass-The-Hash 的横向行为，可通过监控 **4624（登录类型3 + NTLM）**  和异常的 `Administrators`​ 组访问 `\\dc\c$` 行为进行检测。

# 6 本篇小结

本篇文章围绕 `ForeignSecurityPrincipals`​ 容器，从原理到实战，完整演示了一条"从受信任林普通用户 → 目标林域控管理员"的跨林攻击链。可以看到，这条攻击链几乎不依赖任何漏洞利用，全部基于AD对跨林信任的**正常设计**——只要目标域管理员做出了"将外部用户加入本域高权限组"这一看似便利的操作，攻击者就能借助FSP机制轻松打通两个林之间的权限壁垒。

对红队而言，`Get-DomainForeignGroupMember`​、`Get-DomainForeignUser`​ 应当成为进入任意林后必跑的两条侦察命令；对蓝队而言，**定期清点** **​`ForeignSecurityPrincipals`​**​ **容器，并对跨林组成员施加最小权限约束**，是抵御此类攻击最直接、最经济的手段。


‍ 在Active Directory（AD）多林环境的实战对抗中，跨林信任是企业构建业务协作的常见架构，但也为攻击者提供了从"受信任林"横向渗透进入"信任林"的天然通道。当一个域用户被授予访问外部林资源的权限时，其SID会被以特殊对象的形式登记在目标域的 ForeignSecurityPrincipals 容器中——这个鲜为人知的容器，恰恰是跨林权限提升的关键突破口。 许多防御方在部署双林、多林

AD域攻防权威指南.八十二.利用ForeignSecurityPrincipals获取外部信任的林权限

技术经理

安全

职业发展

网络与通信

Active Directory跨林信任中ForeignSecurityPrincipals容器是攻击者横向渗透的关键突破口。文章详细演示了从枚举外部组成员、解析SID到利用Pass-The-Hash获取域控权限的完整攻击链，并给出检测与防御建议。重点分析了权限配置错误导致的跨林权限滥用风险，强调定期审计FSP容器和实施最小权限原则的重要性。

2026上云采购 | AI焕新·智启新局

cadc

热销域名限时优惠，新客首年免费！


domain

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

Active Directory跨林信任中ForeignSecurityPrincipals容器是攻击者横向渗透的关键突破口。文章详细演示了从枚举外部组成员、解析SID到利用Pass-The-Hash获取域控权限的完整攻击链，并给出检测与防御建议。重点分析了权限配置错误导致的跨林权限滥用风险，强调定期审计FSP容器和实...

AD域攻防权威指南.八十二.利用ForeignSecurityPrincipals获取外部信任的林权限-腾讯云开发者社区-腾讯云

AD域攻防权威指南.八十二.利用ForeignSecurityPrincipals获取外部信任的林权限

AD域攻防权威指南.八十二.利用ForeignSecurityPrincipals获取外部信任的林权限

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐