‍

> **引言**：在 AD 域渗透过程中，约束委派（Constrained Delegation）是攻击者横向移动与权限提升的高价值目标之一。相较于非约束委派，约束委派虽在权限边界上有所收敛，但一旦被利用，攻击者可通过 S4U2Self/S4U2Proxy 协议伪造任意用户身份访问指定服务，因此**如何在域内快速、准确地枚举出配置了约束委派的账户，成为攻防双方必须掌握的核心技能**。上一篇文章介绍了 Linux 环境下（如 Impacket、ldapsearch）查询约束委派账户的方法，本篇聚焦 **Windows 环境**，围绕 AdFind、PowerShell（ActiveDirectory 模块）、PowerView、原生命令（dsquery/setspn）等多种工具，系统讲解如何通过 LDAP 过滤器精准定位开启了约束委派的**服务账户**和**机器账户**，并给出对应的属性解读与实战对比，帮助读者在真实红蓝对抗场景下高效完成信息收集与目标锁定。

## 1. Windows 环境概述

Windows 环境中，可以在域内通过 LDAP 查询开启约束委派的账户。判断一个账户是否配置了约束委派，核心在于其 `msDS-AllowedToDelegateTo`​ 属性是否存在且非空——该属性存储了目标账户被允许委派到的 SPN（Service Principal Name）列表。结合 `sAMAccountType` 属性即可区分账户类型：

- `sAMAccountType=805306368`：普通用户（含服务账户）
- `sAMAccountType=805306369`：机器账户（计算机账户）

下面依次介绍常用的查询方式。

## 2. 使用 AdFind 查询开启约束委派的账户

AdFind 是一款经典的 LDAP 查询工具，语法简洁、输出规范，非常适合在 Windows 环境下枚举域内敏感对象。

### 2.1 查询开启约束委派的服务账户

在命令行中输入以下命令，即可枚举出所有配置了约束委派的**服务账户**（普通用户账户），查询结果如图1-1所示。使用的过滤器为 `(&(samAccountType=805306368)(msds-allowedtodelegateto=*))`。

```powershell
AdFind.exe -b "DC=dm,DC=org" -f "(&(samAccountType=805306368)(msds-allowedtodelegateto=*))" cn distinguishedName msds-allowedtodelegateto
```

:::center  
​![](https://developer.qcloudimg.com/http-save/yehe-1277458/9673e8c81d853a56ea1ffe62ec7b53e3.jpg)

图1-1 查询开启约束委派的服务账户  
:::

返回结果中，`cn`​ 字段为账户名，`distinguishedName`​ 为账户在域内的完整路径，`msDS-AllowedToDelegateTo` 则列出了该账户被允许委派访问的目标服务 SPN。

### 2.2 查询开启约束委派的机器账户

将过滤器中的 `samAccountType`​ 修改为 `805306369`​ 即可枚举出所有配置了约束委派的**机器账户**，查询结果如图1-2所示。

```powershell
AdFind.exe -b "DC=dm,DC=org" -f "(&(samAccountType=805306369)(msds-allowedtodelegateto=*))" cn distinguishedName msds-allowedtodelegateto
```

:::center  
​![](https://developer.qcloudimg.com/http-save/yehe-1277458/e9041fc09dfcccd13e8d710beee2b5af.jpg)

图1-2 查询开启约束委派的机器账户  
:::

机器账户的委派配置往往危险性更高，因为其自身通常已具备较强的域内权限，一旦被攻击者利用即可造成横向移动或权限扩散。

## 3. 使用 PowerShell（ActiveDirectory 模块）查询

若目标主机安装了 RSAT（Remote Server Administration Tools）或已导入 ActiveDirectory 模块，则可直接使用官方 PowerShell Cmdlet 完成查询，命令更贴近管理员视角，也不易触发部分终端检测规则。

### 3.1 查询开启约束委派的服务账户

使用 `Get-ADUser`​ 结合 `-Filter`​ 与 `-Properties`​ 参数，即可枚举所有 `msDS-AllowedToDelegateTo` 非空的用户账户：

```powershell
Get-ADUser -Filter {msDS-AllowedToDelegateTo -like "*"} -Properties msDS-AllowedToDelegateTo | Select-Object Name,DistinguishedName,msDS-AllowedToDelegateTo
```

其中 `-Filter {msDS-AllowedToDelegateTo -like "*"}`​ 表示筛选出该属性存在任意值的对象；`Select-Object` 用于精简输出列。

### 3.2 查询开启约束委派的机器账户

将 `Get-ADUser`​ 替换为 `Get-ADComputer` 即可枚举机器账户：

```powershell
Get-ADComputer -Filter {msDS-AllowedToDelegateTo -like "*"} -Properties msDS-AllowedToDelegateTo | Select-Object Name,DistinguishedName,msDS-AllowedToDelegateTo
```

### 3.3 统一枚举（不区分账户类型）

如果希望一次性列出所有配置了约束委派的对象（含用户与计算机），可使用更底层的 `Get-ADObject`：

```powershell
Get-ADObject -LDAPFilter "(msDS-AllowedToDelegateTo=*)" -Properties msDS-AllowedToDelegateTo,sAMAccountName,objectClass | Select-Object sAMAccountName,objectClass,msDS-AllowedToDelegateTo
```

通过 `objectClass`​ 字段可直观区分该对象是 `user`​ 还是 `computer`。

## 4. 使用 PowerView 查询

PowerView 是渗透测试中最常用的域内枚举脚本之一，其内建的 `Get-DomainUser`​ 与 `Get-DomainComputer`​ 提供了 `-TrustedToAuth`​ 参数，可**一步筛选**出配置了约束委派的账户。

### 4.1 查询开启约束委派的服务账户

```powershell
Get-DomainUser -TrustedToAuth -Domain dm.org | Select-Object samaccountname,distinguishedname,msds-allowedtodelegateto
```

`-TrustedToAuth`​ 会自动加上过滤器 `(msds-allowedtodelegateto=*)`，等价于底层 LDAP 查询，但语义更清晰。

### 4.2 查询开启约束委派的机器账户

```powershell
Get-DomainComputer -TrustedToAuth -Domain dm.org | Select-Object samaccountname,distinguishedname,msds-allowedtodelegateto
```

### 4.3 结合 SPN 信息进一步分析

约束委派的**目标 SPN** 才是攻击者真正关心的对象。可以进一步展开 `msds-allowedtodelegateto`，明确该账户被允许伪装用户访问哪些服务：

```powershell
Get-DomainUser -TrustedToAuth | ForEach-Object {
    [PSCustomObject]@{
        User = $_.samaccountname
        AllowedTo = $_.'msds-allowedtodelegateto' -join "; "
    }
}
```

## 5. 使用原生 dsquery / setspn 命令查询

在没有第三方工具落地的场景下，也可以利用 Windows 自带命令完成基础枚举。

### 5.1 使用 dsquery 查询

```powershell
dsquery * -filter "(&(samAccountType=805306368)(msDS-AllowedToDelegateTo=*))" -attr distinguishedName sAMAccountName msDS-AllowedToDelegateTo -limit 0
```

将 `805306368`​ 替换为 `805306369` 即可查询机器账户。

### 5.2 使用 setspn 辅助确认目标服务

获取到 `msDS-AllowedToDelegateTo`​ 中的目标 SPN 后，可通过 `setspn -Q` 反向核实该 SPN 对应的实际账户：

```powershell
setspn -Q CIFS/dc.dm.org
```

## 6. 常用查询方法对比

为便于在不同环境下灵活选择，下表对本篇涉及的四种查询方式进行汇总对比，如表1-1所示。

:::center  
表1-1 Windows 环境下查询约束委派账户方法对比  
:::

|序号|工具 / 命令|是否需第三方落地|权限要求|输出可读性|隐蔽性|适用场景|
| ------| --------------------------| ------------------| ------------------| ------------| --------| --------------------------------|
|1|AdFind|是|域内普通用户即可|高|中|红队标准信息收集|
|2|PowerShell（AD 模块）|依赖 RSAT|域内普通用户即可|高|高|已具备管理员环境，模拟正常运维|
|3|PowerView|是（脚本加载）|域内普通用户即可|中|中|渗透测试中一体化枚举|
|4|dsquery / setspn（原生）|否|域内普通用户即可|中|高|无第三方工具、纯净落地场景|

## 7. 关键属性与结果解读

在解读查询结果时，需重点关注以下三个字段：

- **​`sAMAccountName`​**​：账户名，用于后续 Kerberos 请求票据时的 `-user` 参数。
- **​`msDS-AllowedToDelegateTo`​**：允许委派到的目标 SPN 列表。攻击者可通过 S4U2Proxy 请求以任意用户身份获取访问这些 SPN 的服务票据。
- **​`userAccountControl`​**​：若包含 `TRUSTED_TO_AUTH_FOR_DELEGATION`​（0x1000000）标志位，则表明该账户开启了**基于协议转换的约束委派**（Protocol Transition），危害更大——攻击者无需目标用户主动认证即可伪造其身份。

在实战中，一旦发现某账户同时满足「`msDS-AllowedToDelegateTo`​ 非空」且「`userAccountControl`​ 包含 `TRUSTED_TO_AUTH_FOR_DELEGATION`」，就意味着可直接借助 Kekeo、Rubeus 等工具，通过 S4U 协议伪造域管身份访问其被允许委派的服务，完成一次典型的约束委派利用。

## 8. 本篇小结

本篇聚焦 Windows 环境，系统梳理了 AdFind、PowerShell（ActiveDirectory 模块）、PowerView、dsquery/setspn 四类工具查询约束委派账户的方法，并结合 `sAMAccountType`​、`msDS-AllowedToDelegateTo`​、`userAccountControl` 三个核心 LDAP 属性讲解了结果解读思路。


‍ 引言：在 AD 域渗透过程中，约束委派（Constrained Delegation）是攻击者横向移动与权限提升的高价值目标之一。相较于非约束委派，约束委派虽在权限边界上有所收敛，但一旦被利用，攻击者可通过 S4U2Self/S4U2Proxy 协议伪造任意用户身份访问指定服务，因此如何在域内快速、准确地枚举出配置了约束委派的账户，成为攻防双方必须掌握的核心技能。上一篇文章介绍了 Linux 

AD域攻防权威指南.九十六.Windows环境下查询配置约束委派配置的账户

技术经理

安全

后端

运维

Windows环境下如何快速枚举AD域约束委派账户？本文详解AdFind、PowerShell、PowerView及原生dsquery/setspn四种查询方法，解析msDS-AllowedToDelegateTo等关键属性，帮助攻防人员高效识别高价值目标，掌握约束委派攻击面检测技巧。

代码解释

Windows

Linux

2026上云采购 | AI焕新·智启新局

cadc

tpts

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

AD域攻防权威指南.九十六.Windows环境下查询配置约束委派配置的账户-腾讯云开发者社区-腾讯云

AD域攻防权威指南.九十六.Windows环境下查询配置约束委派配置的账户

AD域攻防权威指南.九十六.Windows环境下查询配置约束委派配置的账户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐