Active Directory Etki Alanı Yönetici Parolasını Sıfırlama

Bu yazımızda Active Directory domain yönetici şifre sıfırlama senaryolarına bakacağız. Unutkanlık veya emekli olan bir yöneticinin kasıtlı sabotajı, bilgisayar korsanı saldırısı vb. nedeniyle etki alanı yöneticisi ayrıcalıklarının kaybolduğu durumlarda buna ihtiyacınız olabilir. Bir etki alanı yöneticisi parolasını başarılı bir şekilde sıfırlamak için, AD etki alanı denetleyicisine fiziksel veya uzaktan erişiminizin olması gerekir. konsol (sanal DC kullanırken iLO, iDRAC veya VMware vSphere/Hyper-V/Proxmox konsolu).

Bu örnekte, Windows Server 2019 çalıştıran bir etki alanı denetleyicisinde yönetici parolasını sıfırlayacağız. Ağda birden fazla etki alanı denetleyicisi varsa, bunlardan herhangi birinde Etki Alanı Yöneticisi parolasını sıfırlayabilirsiniz.

Bir etki alanı yönetici parolasını sıfırlamak için, DSRM yönetici parolasını (Windows Sunucusu etki alanı denetleyicisine yükseltildiğinde ayarlanır) kullanarak Dizin Hizmetleri Geri Yükleme Moduna (DSRM) erişmeniz gerekir. Aslında, etki alanı denetleyicisindeki yerel bir SAM veritabanında saklanan bir yerel yönetici hesabıdır. DSRM parolasını bilmiyorsanız yöntem 1 veya 2'yi kullanın.

DSRM Parolasını Bilmiyorsanız Kayıp Etki Alanı Yöneticisi Parolasını Nasıl Sıfırlayabilirsiniz?

Sunucunuzu herhangi bir Windows kurulum ortamından önyükleyin (bu, bir Windows kurulum USB çubuğu veya bir ISO görüntüsü olabilir):

  1. Basmak

    Shift+F10

    Windows Kurulum ekranında komut istemini açmak için;

  2. Artık Windows Sunucunuzun kurulu olduğu bölüme atanan harfi bilmeniz gerekiyor. Komutu çalıştırın:

    wmic logicaldisk get volumename,name

    Örneğimde, çevrimdışı Windows Server resmimin C: üzerinde olduğunu görebilirsiniz. Bu, aşağıdaki komutlarda kullanacağımız sürücü harfidir.

    Diskpart'ı kullanarak Windows'ta da diskleri tanımlayabilirsiniz:

    diskpart
    ->
    list disk
    ->
    list vol

  3. Orijinal utilman.exe dosyasını yedekleyin:

    copy C:\windows\system32\utilman.exe C:\windows\system32\utilman.exebak

  4. Ardından utilman.exe dosyasını cmd.exe ile değiştirin:

    copy c:\windows\system32\cmd.exe c:\windows\system32\utilman.exe /y

  5. Önyükleme görüntüsünü (USB/ISO) çıkarın ve sunucunuzu yeniden başlatın:

    wpeutil reboot

  6. Etki alanı denetleyicisi önyüklendikten sonra, oturum açma ekranındaki "Kolay Erişim" düğmesini tıklayın. Bu bir komut istemi açacaktır;

  7. çalıştır

    whoami

    komut isteminin NT Authority\SYSTEM olarak çalıştığından emin olmak için komut;

  8. Yönetici hesabıyla ilgili liste bilgileri:

    net user administrator

  9. Bu örnekte, bu kullanıcının Domain admins grubunun bir üyesi olduğunu ve artık devre dışı bırakıldığını görebilirsiniz:

    Account active: No

  10. Etki alanı yöneticisi hesabını etkinleştirin:

    net user administrator /active:yes

  11. Artık etki alanı yönetici parolanızı sıfırlayabilirsiniz:

    net user administrator *

    Yeni bir yönetici parolası belirleyin (yeni parola etki alanı parola politikasıyla eşleşmelidir);

  12. Sunucunuzu yükleme medyasından yeniden başlatın ve utilman.exe dosyasını orijinal dosyayla değiştirin (sunucuda bir güvenlik açığı bırakmamak için):

    copy c:\windows\system32\utilman.exebak c:\windows\system32\utilman.exe /y

  13. Etki alanı denetleyicinizi normal modda yeniden başlatın ve artık yeni etki alanı yöneticisi parolasını kullanarak DC'nizde oturum açabildiğinizden emin olun.

Sanallaştırılmış Etki Alanı Denetleyicisinde Etki Alanı Yönetici Parolasını Sıfırlama

Herhangi bir hipervizörde (ESXi, Hyper-V, Proxmox) çalışan sanallaştırılmış bir etki alanı denetleyiciniz varsa, yönetici parolasını sıfırlamak için DSInternals PowerShell modülünü kullanabilirsiniz.
Bunu yapmak için:

  1. AD DS rolünü (etki alanı denetleyicisi) çalıştıran VM'yi kapatın ve sanal sürücüsünü (vhdx, vmdk vb.) Windows çalıştıran diğer herhangi bir VM'ye bağlayın. Bir sürücü harfi atayın, örneğin,

    E:

    ;

  2. DSInternals modülünü PowerShell Galerisi'nden kurun:

    Install-Module DSInternals -Force

    PowerShell modülleri, İnternet bağlantısı olmadığında çevrimdışı olarak kurulabilir.

  3. AD veritabanınızdaki (ntds.dit) parola karmalarını şifrelemek için kullanılan bir önyükleme anahtarı edinin:

    $bootkey= Get-BootKey -SystemHiveFilePath "E:\Windows\System32\config\SYSTEM"

  4. Artık AD veritabanındaki herhangi bir kullanıcı hesabı hakkında bilgi edinebilirsiniz:

    Get-ADDBAccount -SamAccountName 'Administrator' -DBPath "E:\Windows\NTDS\ntds.dit" -BootKey $bootkey

  5. Etki alanı yöneticisi hesabı devre dışıysa etkinleştirin ve yeni bir parola belirleyin:

    Enable-ADDBAccount -SamAccountName 'Administrator' -DBPath "E:\Windows\NTDS\ntds.dit"
Set-ADDBAccountPassword -SamAccountName 'administrator' -DBPath "E:\Windows\NTDS\ntds.dit" -BootKey $bootkey

  6. Sanal sürücünün bağlantısını kesin, kaynak VM'ye yeniden bağlayın ve etki alanı denetleyicisini açın;

  7. Bundan sonra, yeni etki alanı yönetici parolası tüm DC'lere kopyalanacaktır.

Etki Alanı Yönetici Parolasını DSRM'den Sıfırla

DSRM yönetici parolasını biliyorsanız, Gelişmiş Önyükleme Seçenekleri menüsünden uygun seçeneği belirleyerek DC'nizi DSRM'ye önyükleyebilirsiniz.

Oturum açma ekranında yerel kullanıcı adını (yönetici) ve parolayı (DSRM parolası) girin.

Bu örnekte etki alanı denetleyicisi adı DC01'dir.
Komutu çalıştırarak sistemde hangi kullanıcının oturum açtığını kontrol edelim:

whoami /user
USER INFORMATION
----------------
User Name          SID
================== ============================================
dc01\administrator S-1-5-21-3244332244-312345677-2454632109-500

Gördüğünüz gibi, yerel yönetici kullanıcı olarak oturum açtık.

Bir sonraki adım, Active Directory yönetici parolasını değiştirmektir (varsayılan olarak hesap Yönetici olarak da adlandırılır). Domain yöneticisinin şifresini sıfırlamak için SİSTEM altında yönetici hesabının şifresini sıfırlayacak bir servis oluşturacağız:

sc create ResetADPass binPath= "%ComSpec% /k net user administrator P1SSsw0rd21!" start= auto

Not. BinPath değişkeninde yol ayarlanırken "=" işareti ile değeri arasında boşluk bırakılması gerektiğini unutmayın. Ayrıca yeni parola, alanın parola uzunluğu ve karmaşıklığı gereksinimlerini karşılamalıdır.

Hizmetin oluşturulduğundan emin olun:

sc qc ResetADPass
[SC] QueryServiceConfig SUCCESS
SERVICE_NAME: ResetADPass
TYPE               : 10  WIN32_OWN_PROCESS
START_TYPE         : 2   AUTO_START
ERROR_CONTROL      : 1   NORMAL
BINARY_PATH_NAME   : C:\Windows\system32\cmd.exe /k net user administrator P@ssw0rd1
LOAD_ORDER_GROUP   :
TAG                : 0
DISPLAY_NAME       : ResetADPass
DEPENDENCIES       :
SERVICE_START_NAME : LocalSystem

Etki alanı denetleyicisini normal modda yeniden başlatın:

shutdown -r -t 0

Başlangıçta, oluşturduğumuz hizmet Etki Alanı Yöneticisi parolasını P1SSsw0rd21! olarak değiştirir. DC'de oturum açmak için bu hesabı ve parolayı kullanın.

whoami /user
USER INFORMATION
----------------
User Name             SID
===================== ============================================
corp\administrator S-1-5-21-1737425439-23123122-1234318981-500

Ardından az önce oluşturduğumuz Windows hizmetini silin:

sc delete ResetADPass
[SC] DeleteService SUCCESS

Bu yazıda, bir AD etki alanı yöneticisinin parolasını nasıl sıfırlayabileceğinize bir göz atacağız. BT altyapınızın fiziksel güvenliğini sağlamanın önemini yinelemek isteriz. Yetkili personel dışında birinin etki alanı denetleyicilerinizi çalıştıran fiziksel ana makinenize yerel erişimi varsa, herhangi bir kullanıcı veya yönetici parolasını kolayca sıfırlayabilir. DC'yi daha az güvenilir konumlara dağıtmanız gerekirse, salt okunur bir etki alanı denetleyicisi (RODC) özelliği kullanmanız önerilir.

İlgili makaleler